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1.Inleiding 

1.1. Kader: de hervorming van de langdurige zorg 

2014 wordt het jaar van de hervorming van de langdurige zorg. De AWBZ, de Wmo en de Jeugdwet gaan 
op de schop en ook de Zvw wordt aangepast. De hervorming moet ingaan op 1 januari 2015 maar de 
voorbereidingen daarvoor zijn al in volle gang. Dat betekent dat wetgevende trajecten, bestuurlijke 
afspraken en transitieprogramma's langdurige zorg in 2014 over elkaar heen zullen buitelen. 

Als onderdeel van de hervorming van de langdurige zorg worden ook de condities waaronder een 
beroep kan worden gedaan op de regeling voor het persoonsgebonden budget (pgb) herzien. Dat 
gebeurt onder meer met behulp van een trekkingsrechtensysteem dat na de toekenning van een pgb zal 
worden uitgevoerd door de Sociale verzekeringsbank (SVB). Vooruitlopend op de wettelijke regelingen 
in de Wet Langdurige Zorg (WLZ), de Wet maatschappelijke ondersteuning 2015 (Wmo 2015) en de 
Jeugdwet is de transitie naar het trekkingsrechtensysteem voor 2014 voor de AWBZ/WLZ al voor een 
deel vastgelegd in artikel 2.6.3c van de Regeling subsidies AWBZ: 


1. Met ingang van 1 januari 2014 kan op verzoek van een verzekerde een trekkingsrecht worden 
verleend dan wel diens verleende persoonsgebonden budget worden omgezet in een verlening 
van een trekkingsrecht. Het verzoek wordt gedaan met een door het zorgkantoor vastgesteld 
aanvraagformulier. 

2. Met ingang van de volgende data wordt een verzekerde uitsluitend een trekkingsrecht verleend: 

a. 1 januari 2014 indien de verzekerde woonachtig is in een regio van de zorgkantoren OWM 
Zorgverzekeraar Zorg en Zekerheid U.A., Zorgkantoor DSW B.V. of Salland Zorgkantoor B.V; 

b. een door het zorgkantoor te bepalen datum in de eerste zes maanden van 2014 indien de 
verzekerde woonachtig is in een regio van een ander zorgkantoor dan genoemd in onderdeel 
a en indien het zorgkantoor die datum acht weken tevoren bekend heeft gemaakt; 

c. 1 juli 2014 indien de verzekerde woonachtig is in een regio van een zorgkantoor anders dan 
bedoeld in de onderdelen a en b. 

3. Het tweede lid is niet van toepassing op een bestaande budgethouder. 

4. Het zorgkantoor kan een verleend persoonsgebonden budget met ingang van een door het 
zorgkantoor te bepalen datum in 2014 omzetten in een verlening van een trekkingsrecht indien 
het zorgkantoor die datum acht weken tevoren bekend heeft gemaakt en de verzekerde 
toestemming geeft om zijn persoonsgegevens door te geven aan de Sociale verzekeringsbank ten 
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behoeve van het doen van de betalingen uit en de verantwoording over het persoonsgebonden 
budget. 

5. Aan een verzekerde die op enig moment een trekkingsrecht heeft ontvangen wordt geen 
persoonsgebonden budget verstrekt anders dan een trekkingsrecht. 

Deze transitie levert formeel en materieel al de aanleiding om de bescherming van persoonsgegevens 
bij het toepassen van het persoonsgebonden budget (pgb) opnieuw te bezien door middel van een 
privacy impact assessment (PIA). Dit onderwerp lijkt ogenschijnlijk een zaak van ondergeschikt belang in 
vergelijking met onderwerpen als stelselwijziging, decentralisatie, afspraken uit het regeerakkoord die 
aan de orde zijn bij de hervorming van de langdurige zorg. De transitie is echter de voorloper van een 
structurele regeling voor het persoonsgebonden budget in de WLZ, de Wmo 2015, de Jeugdwet en de 
Zorgverzekeringswet 1 . Met deze belangrijke structurele regeling is, naar wordt aangenomen, voor een 
groep van 120.000 a 160 000 mensen 2,5 mld euro gemoeid. 

De gegevensbescherming bij de uitvoering van het persoonsgebonden budget trekkingsrechten (hierna 
pgb-t) moet worden onderworpen aan een privacy impact assessment op grond van de daarvoor 
geldende formele afspraken maar is extra belangrijk omdat de verwerking van persoonsgegevens zich 
bevindt in het hart van de zorgverlening waarbij wordt gewerkt met bijzondere persoonsgegevens. Voor 
bijzondere persoonsgegevens inzake de gezondheid hanteert de Wet bescherming persoonsgegevens in 
artikel 16 als uitgangspunt immers een verwerkingsverbod. 

In dit advies wordt daarom voor de pgb-t's met behulp van 'deel-PIA's' ingegaan op de eisen die de Wet 
bescherming persoonsgegevens stelt aan het pgb-trekkingsrechtensysteem voor AWBZ/WLZ, Wmo 2015 
en Jeugdwet. 


1.2. Aanpak fraude in de zorg 

De invoering van trekkingsrechten voor het pgb is onder meer bedoeld als een middel om fraude en 
oneigenlijk gebruik bij het gebruik van pgb's in de (jeugd)zorg aan te pakken. Een eerste vereiste bij het 
aanpakken van fraude is overeenstemming over wat is toegestaan en wat niet. Het normenkader is op 


1 Het pgb voor de Zorgverzekeringswet zal door de zorgverzekeraars onder de naam Zvw-pgb worden 
uitgevoerd via een declaratiesysteem blijkens de brief van 25 maart 2014 van de Minister en 
Staatssecretaris van Volksgezondheid, Welzijn en Sport over de verankering persoonsgebonden budget 
in de Zorgverzekeringswet. 
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dit moment onvoldoende helder. Bij betrokkenen leidt dit tot zorg en ergernis over "fraude", zonder dat 
is vastgesteld of er fraude in juridische zin is gepleegd. 

Het pgb-trekkingsrechtensysteem levert naar verwachting een bijdrage aan het verminderen van de 
kans op fraude op de volgende punten: identiteitsfraude, niet afdragen van loonbelasting en premies, 
malafide zorgaanbieders en bemiddelingskantoren, frauduleuze of foutieve contracten, fraude met 
declaraties door zorgaanbieders, fraude door budgethouder (niet besteed aan zorg). 

Het trekkingsrechtensysteem heeft als aangrijpingspunt voor het bestrijden van fraude de formele, 
procedurele aspecten die op basis van de huidige regeling kunnen worden gecontroleerd. De in het 
nieuws gekomen fraudezaken waarbij intermediairs de hoofdrol spelen, kunnen waarschijnlijk niet 
worden voorkomen met alleen het trekkingsrechtensysteem. De nieuwe wettelijke regelingen voor het 
pgb kennen daarom ook andere waarborgen om fraude tegen te gaan. 

Een aandachtspunt is daarbij de divergentie die tot nu toe in de verschillende pgb-regelingen bestaat. 
Aan deze divergentie besteden wij aandacht in de drie PIA's die betrekking hebben op de 
gegevensverwerking door de Sociale Verzekeringsbank ten behoeve van de budgethouder/cliënt. Deze 
divergentie zal kunnen afnemen nu het beleid is gericht op gelijktrekking van de regelingen in de WLZ, 
Wmo2015 en de Jeugdwet. 

Hetzelfde geldt voor de divergentie in de uitvoering. Denk aan de verschillende manieren waarop de 
terugvordering van ten onrechte genoten pgb plaatsvindt. Ook hier zal de hervorming van de zorg meer 
uniformiteit mogelijk maken. 

In de onderhavige advisering moest worden rekening gehouden met een verschillende timing bij het tot 
stand brengen van de nieuwe wetgeving voor 2015. Voor dit advies hebben wij geconstateerd dat het 
voorstel voor de Wmo 2015 zoals dat is gewijzigd bij de eerste nota van wijziging medio maart 2014 
leidend is wat betreft de kenbare inzichten op het punt van gegevensbescherming bij de pgb-t's. Wij 
gaan er vanuit dat er binnenkort ook een aanpassingswet zal komen waarin onder meer de afstemming 
van de nieuwe wetten op elkaar zal worden geregeld (waarbij in de Jeugdwet bijvoorbeeld een 
verwijzing naar de AWBZ kan worden vervangen door een verwijzing naar de WLZ). 
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Precisiewerk is vereist om het juiste evenwicht te vinden tussen, enerzijds, duidelijke normen om vast te 
kunnen stellen wat is toegestaan binnen de pgb-regeling en, anderzijds, voldoende flexibiliteit om te 
kunnen blijven voorzien in regelingen die afwijken van het "zorg in natura-pakket". 

Dit vergt dat de normen over wat inhoudelijk is toegestaan binnen een pgb-t helder zijn, dat de voor 
dergelijke analyses vereiste persoonsgegevens verwerkt mogen worden en dat begrippen zodanig 
gestandaardiseerd zijn dat uitwisseling wordt gefaciliteerd. 

Persoonsgegevens die nodig zijn voor de aanpak van fraude zullen moeten worden meegenomen in de 
beoordeling van het trekkingsrechtensysteem om na te gaan of verwerking daarvan is toegestaan, of dat 
regelgeving kan/moet worden aangepast om verwerking mogelijk te maken. De PIA's brengen aan de 
hand van het huidige normenkader in kaart wat de gevolgen voor de gegevensbescherming zijn van de 
invoering van pgb-trekkingsrechten, signaleert eventuele knelpunten voor de gegevensverwerking en 
bevat aanbevelingen voor de regelgeving. 

1.3. Persoonsgebonden budget 

Algemeen 

Met het pgb kan een budgethouder/zorgbehoevende cliënt zelf zijn zorg regelen. Onder de huidige 
wetgeving gaat het om drie soorten pgb: 

• Het pgb-AWBZ wordt in de huidige situatie door een zorgkantoor beschikbaar gesteld aan een 
hulpbehoevende voor persoonlijke verzorging, verpleging, begeleiding of kortdurend verblijf. 

• Het pgb-Wmo wordt door een gemeente beschikbaar gesteld aan een hulpbehoevende die 
hulp nodig heeft om thuis te kunnen blijven wonen. 

• Voor het pgb-Jeugdzorg stelt Bureau Jeugdzorg de indicatie voor jongeren onder de 18 jaar met 
een psychiatrische ziekte of ernstige gedragsproblemen. 

Vanaf 2015 regelen drie wetten het pgb met behulp van het systeem van trekkingsrechten: de WLZ, de 
Wmo 2015 en de Jeugdwet. De eerste twee wetten zijn op weg naar het Staatsblad en de Jeugdwet is 
inmiddels op 18 februari 2014 door de Eerste Kamer aanvaard. Laatstgenoemde wet houdt in dat de 
jeugd-ggz en daarmee het pgb voor een jeugdige hulpbehoevende vanaf 1 januari 2015 niet meer wordt 
gefinancierd en wordt uitgevoerd vanuit de Zvw en de AWBZ, maar door de gemeente wordt 
gefinancierd en wordt uitgevoerd. Het pgb-Wmo omvat dan ook het pgb vanuit de Jeugdwet. 
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Huidige situatie pgb-A WBZ 

Als een chronisch zieke, gehandicapte of oudere voor langere tijd zorg nodig heeft - denk bijvoorbeeld 
aan dagopvang of hulp bij het douchen - kan een pgb voor zorg op basis van de AWBZ worden 
aangevraagd. Voor een pgb voor AWBZ-zorg is een AWBZ-indicatie van het Centrum indicatiestelling 
zorg (CIZ) nodig. In de AWBZ-indicatie staat welke zorg de hulpbehoevende nodig heeft en hoeveel. Het 
CIZ stuurt het indicatiebesluit naar de hulpbehoevende en naar een zorgkantoor bij hem/haar in de 
buurt. Het zorgkantoor overlegt dan met de hulpbehoevende of hij/zij in aanmerking komt voor een 
pgb. En welk bedrag aan pgb de hulpbehoevende krijgt, voor welke periode en wanneer het geld aan 
hem wordt uitbetaald. Kiest de hulpbehoevende niet voor een pgb maar voor zorg in natura, dan 
bepaalt de zorgaanbieder hoe hij/zij de zorg krijgt. 

Het deel van het pgb dat de budgethouder niet heeft besteed aan zorg, moet hij/zij terugbetalen aan 
het zorgkantoor. Hierbij geldt echter een zogenoemd 'vrij besteedbaar bedrag', dat 1,5% van het budget 
- na aftrek van eigen bijdragen - bedraagt. Voor dit bedrag geldt een minimum van 250 euro en een 
maximum van 1250 euro per jaar. De budgethouder hoeft dit bedrag niet terug te betalen. 

De pgb-AWBZ is nu geregeld in de artikelen van paragraaf 2.6 van de Regeling subsidies AWBZ. 

Huidige situatie pgb-Wmo 

Voor een pgb-Wmo kan een hulpbehoevende een aanvraag indicatie Wmo doen bij het zorgloket van 
zijn/haar gemeente. De aanvraag kan de volgende categorieën betreffen: 

• hulp in het huishouden 

• oplossingen voor vervoersproblemen 

• een rolstoel 

• aanpassingen in huis, zoals bijvoorbeeld een traplift 

• begeleiding bij allerlei activiteiten, als men niet voor AWBZ-zorg in aanmerking komt, maar anders 
niet (maatschappelijk) actief kan zijn. 

Bij toekenning van de indicatie kan worden gekozen voor een pgb waarbij de hulpbehoevende zelf meer 
kan/moet regelen dan bij een keus voor zorg in natura in welk geval gebruik wordt gemaakt van de 
instellingen, organisaties of leveranciers waarmee de gemeente afspraken heeft gemaakt. 

De pgb-Wmo is nu geregeld in de artikelen 5 tot en met 8 en 15 van de Wet maatschappelijke 
ondersteuning alsmede in de gemeentelijke verordening die artikel 5 verplicht stelt. 
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Huidige situatie pgb-Jeugdzorg 

Voor de cliënten van de jeugdzorg kunnen indicaties van toepassing zijn die worden gefinancierd uit de 
AWBZ en/of de Wmo. Afhankelijk van de zorgbehoefte kan voor een pgb-jeugdzorg dus een beroep 
worden gedaan op de hierboven vermelde AWBZ gefinancierde zorg of op de hierboven vermelde Wmo- 
gefinancierde zorg. Niet de Wet op de jeugdzorg is in de huidige situatie dus de wettelijke basis voor 
pgb-Jeugdzorg maar de wettelijke bepalingen van de AWBZ en de Wmo. 

Pgb met trekkingsrechten 

Wat betreft het kader voor de pgb met trekkingsrechten kan worden opgemerkt dat een belangrijk deel 
van de ABWZ-zorg vanaf 1 januari 2015 wordt overgeheveld naar de Wmo 2015 en de 
Zorgverzekeringswet. Bij die gelegenheid wordt de regelgeving voor het pgb zo goed mogelijk 
gelijkgetrokken. De huidige verschillen in de regelingen in de diverse artikelen van de WLZ, de Wmo 
2015 en de Jeugdwet roepen immers vraagtekens op. In het vervolg van dit advies wordt aan de hand 
van de PIA's op dit gebrek aan afstemming nader ingegaan. 


1.4. De opdracht 

Duthler Associates is door het ministerie van VWS gevraagd te adviseren ten behoeve van de aspecten 
gegevensbescherming en gegevensuitwisseling in het kader van trekkingsrechten op het 
persoonsgebonden budget (pgb) zoals voorzien in het voorstel Wet Langdurige Zorg (WLZ) en in het 
voorstel Wet maatschappelijke ondersteuning 2015 (Wmo 2015) en zoals reeds verwerkt in de 
Jeugdwet. Daartoe voert Duthler Associates privacy impact assessments (PIA's) uit om antwoord te 
kunnen geven op de vraag "Hoe kunnen trekkingsrechten voor het pgb worden ingevoerd zonder in 
strijd te komen met regels gericht op gegevensbescherming?". 

Het antwoord op deze vraag is niet alleen van belang voor de WLZ, de Wmo 2015 en de Jeugdwet maar 
mogelijk ook voor de uitwerking van de aanpassingen van de Zorgverzekeringswet ook al is voor het 
Zvw-pgb een eigen beheersysteem afgesproken. De advisering zal mede rekening houden met de 
samenhang van de pgb-trekkingsrechten. Bij de advisering zal voorts worden bezien welk wijzigingen in 
regelgeving en uitvoering (door de Sociale verzekeringsbank, zorgkantoren en gemeenten) 
kunnen/moeten voortvloeien uit de conclusies van de PIA's inzake de pgb-trekkingsrechten. 
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Naast deze observaties en aanbevelingen houdt de opdracht in dat een overkoepelende visie wordt 
gegeven op de gegevensbescherming voor de pgb-t's als onderdeel van de herziening van de langdurige 
zorg. Voor het opnemen van een overkoepelende visie op de bescherming van gegevens die moeten 
worden uitgewisseld als gevolg van de invoering van pgb-trekkingsrechten, gaat het om het verenigen 
van verschillende invalshoeken die bepalend zijn voor een adequate gegevensbescherming van de 
persoonsgegevens die worden verwerkt door gemeenten, zorgverzekeraars, zorgkantoren, CAK, CIZ en 
SVB voor het uitvoeren van de pgb's ingevolge de verschillende wetten en die worden uitgewisseld 
tussen een groot aantal partijen. Daarbij zal ook aandacht worden gegeven aan standaardisatie en 
oplossingen zoals een Trusted Third Party die kunnen bijdragen aan de gegevensbescherming en fraude 
aanpak. 


1.5. Aanpak 

Om te komen tot het gevraagde advies en gebaseerd op onze ervaringen met de PIA die wij hebben 
uitgevoerd voor het wetsvoorstel Wmo 2 , is de volgende aanpak gevolgd. Aan de hand van de artikelen 
uit de huidige wetgeving en de wetgeving voor 2015 die betrekking hebben op het pgb, zijn de 
verwerkingen van persoonsgegevens bij de verschillende actoren en de uitwisselingsrelaties tussen die 
actoren geïnventariseerd. De gegevensuitwisseling rond de pgb-trekkingsrechten wordt gekenmerkt 
door directe en indirecte betrokkenheid van vele partijen. Voor zover de gegevens betrekking hebben 
op het pgb-WLZ (als opvolger van het pgb-AWBZ) en het pgb-Wmo worden ze uitgewisseld tussen de 
SVB, gemeenten (meer dan 400), zorgkantoren (meer dan 30), pgb-houders (ca. 140.000) en 
zorgverleners. Voor de PIA's is daarom de focus gericht op de relatie Sociale verzekeringsbank en de 
betrokkenen en zijn daarbij drie PIA's uitgewerkt voor de structurele situatie vanaf 2015. Daarnaast is in 
hoofdstuk 4 aandacht besteed aan de regelgeving en praktijk voor de trekkingsrechten in 2014. 

Voor de uitvoering van pgb-trekkingsrechten heeft en krijgt de SVB in de structurele situatie de positie 
van "spin in het web", omdat alle informatiestromen die nodig zijn voor het vervullen van de rol van 
"uitvoerder van pgb-trekkingsrechten" bij de SVB moeten uitkomen. Voor de PIA's zijn de verwerkingen 


2 TK 2013-2014, 33841, nr.3 Memorie van Toelichting, bijlage Gegevensuitwisseling en 
gegevensbescherming rond de Wmo en AWBZ, Duthler Associates. 
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van persoonsgegevens bij de SVB daarom als eerste aanknopingspunt genomen om de effecten op de 
gegevensbescherming van pgb-trekkingsrechten te onderzoeken. 

In het kader van de deel-PIA's voor de verwerkingen bij de Sociale Verzekeringsbank zijn de volgende 
relaties uitgewerkt conform de model-PIA voor de rijksoverheid: WLZ SVB - Budgethouder, Wmo 2015 
SVB - Cliënt, Jeugdwet SVB - cliënt (jeugdige of zijn ouder). 

Per gegevensuitwisselingsrelatie is geïdentificeerd welke persoonsgegevens, voor zover nu bekend, voor 
welke doeleinden tussen welke gebruikers (kunnen) worden uitgewisseld. De 

gegevensuitwisselingsrelaties zijn vervolgens onderzocht met behulp van de privacy impact assessment 
methodiek zoals beschreven in het document Toetsmodel Privacy Impact Assessment Rijksdienst van 
het Ministerie van BZK (Kamerbrief 21 juni 2013). 

Bij de toepassing van het Toetsmodel op de genoemde 'gegevensuitwisselingsrelaties' is een juridisch 
kader gebruikt dat wij in het kader van het programma i-HLZ hebben beschreven voor het project 
Gegevensuitwisseling en Standaarden (GuStan) (opgenomen als bijlage 1). In het volgende hoofdstuk 
analyseren wij voorts het juridische kader voor de trekkingsrechten waaronder de recente, voor de zorg 
relevante adviezen van het College Bescherming Persoonsgegevens. Op de bevindingen uit de PIA's is 
voorts de Leidraad 3 toegepast. Zo resulteert een integrale rapportage, waarin ook een visie op een 
voldoende niveau van gegevensbescherming is opgenomen. 

Ontwikkeling pgb 

Het pgb heeft sinds de invoering in 1996 een ontwikkeling doorgemaakt van een bescheiden vorm van 
zorgvernieuwing tot een voorziening voor grote groepen zorgbehoevenden. Het pgb is daarom 
belangrijk geworden in de zorg met overeenkomstige effecten op budget, uitvoering en impact in de 
zorg. Ook de zwakke punten van de pgb-regeling waaronder de fraudegevoeligheid zijn meer in het licht 
komen te staan met als gevolg onder meer de invoering van een trekkingsrechtsysteem. Zoals 
aangegeven in paragraaf 1.1 wordt dit systeem in 2014 stapsgewijs ingevoerd met als doel integrale 
uitvoering met ingang van 2015. 

Inmiddels is door de SVB een pilot gestart waarbij het nieuwe systeem op basis van vrijwilligheid van 
budgethouders met een drietal zorgkantoren wordt toegepast voor enkele honderden budgethouders. 


3 Leidraad voor het afstemmen van wetgeving op de Wbp, ministerie van justitie, 2011. 
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Dit geeft voor de onderhavige advisering de mogelijkheid een aantal aspecten van het 
trekkingsrechtsysteem ook in vivo waar te nemen. 

Tot nu toe heeft het pgb niet tot fundamentele juridische bezwaren met betrekking tot 
gegevensbescherming geleid. Dat is in die zin ook logisch omdat de pgb-houder in beginsel zelf in 
control is en ook verantwoordelijk is voor de bescherming van zijn eigen persoonsgegevens. De vraag is 
wel of pgb-houders deze verantwoordelijkheid wel altijd waar kunnen maken. In veel gevallen moeten 
zij immers terugvallen op de hulp van zorgverleners, intermediairs, mantelzorgers, familie en andere 
vrijwilligers. Het betreft in feite een kwetsbare groep. 

Gezien het voorgaande kan er niet van worden uitgegaan dat bij de invoering van het pgb-t zonder 
nadere afweging kan worden voortgeborduurd op de huidige praktijksituatie. Bij ons onderzoek is die 
praktijksituatie wel de startpositie, maar vervolgens is het pgb-t zowel in formele als materiële zin 
beoordeeld in de deel-PIA's. 

Daarbij is in het bijzonder gelet op: 

• Gaat het om nieuwe verwerkingen, uitwisselingsrelaties, actoren of persoonsgegevens ten opzichte 
van de uitgangssituatie van het huidige pgb? 

• Worden er bijzondere persoonsgegevens verwerkt? 

• Is er sprake van divergentie in regelgeving en uitvoering overgebleven tussen pgb-WLZ en pgb-Wmo 
en pgb-Jeugdwet. 


1.6. Leeswijzer 

Bij het uitvoeren van de opdracht is de in paragraaf 1.5 beschreven aanpak gevolgd. In hoofdstuk 2 is de 
achtergrond van de opdracht beschreven. 

De regeling voor trekkingsrechten op het persoonsgebonden budget in de WLZ , Wmo 2015 en de 
Jeugdwet is voor deze opdracht onderworpen aan een privacytoets volgens het Toetsmodel Privacy 
Impact Assessment Rijksdienst. 
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Het juridisch kader dat wij bij deze opdracht hanteerden, is behandeld in hoofdstuk 3. In dit hoofdstuk is 
ook aandacht gegeven aan eerdere adviezen van het CBP. 

De conclusies naar aanleiding van de bevindingen uit de PIA's zijn opgenomen in de paragrafen 4.1 tot 
en met 4.4. De volledige PIA's zijn opgenomen als bijlage 2. 

De overkoepelende visie met betrekking tot het pgb is opgenomen in hoofdstuk 5. De overkoepelende 
visie is vooral gericht op het vraagstuk van een duurzaam wetgevingscomplex in het sociale domein en 
op het standaardiseringsvraagstuk in het sociale domein. 

De lezer die op zoek is naar de korte samenvatting van ons advies treft deze hierna aan in paragraaf 1.7. 

1.7. Samenvatting 


Ons advies heeft betrekking op het trekkingsrechtensysteem zoals dat gaat gelden in 2015 op grond van 
de WLZ, de Wmo 2015 en de Jeugdwet. Om ons advies goed te kunnen duiden is in de hoofdstukken 1 
t/m 3 ruim aandacht gegeven aan onze aanpak en de achtergrond en het juridisch kader van het pgb- 
trekkingsrechtensysteem. 

Via deel-PIA's hebben wij de verwerkingen bij de Sociale Verzekeringsbank uitgewerkt voor de 
structurele situatie in 2015. Het gaat om de volgende relaties: 

• Persoonsgegevens van een budgethouder die van een zorgkantoor naar de SVB gaan en die door de 
SVB worden verwerkt als gevolg van de toekenning van een WLZ-trekkingsrecht 

• Persoonsgegevens van een cliënt die van een gemeente naar de SVB gaan en die door de SVB 
worden verwerkt als gevolg van de toekenning van een Wmo 2015-trekkingsrecht 

• Persoonsgegevens van een cliënt die van een gemeente naar de SVB gaan en die door de SVB 
worden verwerkt als gevolg van de toekenning van een Jeugdwet-trekkingsrecht 

Er is voor gekozen om de PIA-methodiek in dit stadium toe te spitsen op het verwerken van de 
persoonsgegevens door de SVB naar de stand van de (concept)wetgeving medio maart 2014. Voor een 
deel hebben de resultaten daardoor betrekking op een toets in het ontwikkelingsstadium, voor een 
ander deel op een compliancetoets. 
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Wat betreft de suggesties die voor alle drie wetten gelijk luiden voor de beoogde situatie in 2015 gaat 
het in ons advies om de volgende aandachtspunten: 

• het bevreemdt dat de SVB geen Functionaris Gegevensbescherming heeft. Daarin zou zo 
spoedig mogelijk moeten worden voorzien. Voorts is ons advies om bij het College Bescherming 
Persoonsgegevens zo snel mogelijk melding te maken van de huidige verwerking van de pgb- 
persoonsgegevens door de SVB. De wijze waarop de informatiehuishouding en de 
gegevensbeveiliging voor het trekkingsrechtensysteem bij de SVB is geregeld, moet transparant 
worden gemaakt ten behoeve van de opdrachtgevers en betrokkenen 

• onder meer door het verschillende stadium waarin de drie (concept)wetten verkeren, lopen de 
afzonderlijke regelingen in die wetten voor de uitvoering van het pgb-trekkingsrechtensysteem 
door de SVB uiteen. Met het oog op de verdere wetstrajecten moeten deze verschillen tijdig 
worden weggenomen. Het verdient aanbeveling dit proces van gelijktrekking inzichtelijk te 
maken voordat de plenaire behandelingen van de Wmo 2015 en de WLZ gaan plaatsvinden 

• een belangrijk punt in de voorliggende wettelijke regelingen is het ontbreken van voldoende 
duidelijkheid over de verwerking van medische persoonsgegevens door de SVB bij het 
trekkingsrechtensysteem. De tekst is naar onze mening niet duidelijk genoeg om de praktijk 
uitsluitsel te geven. Hoewel een ruime interpretatie van artikel 21 lid 1, sub f Wbp mogelijk is, 
wanneer uitsluitend de wettekst gevolgd wordt, willen wij wijzen op de risico's die aan deze 
argumentatie zijn verbonden, gezien de memorie van toelichting en de standpunten van het 
Cbp. De SVB zou naar ons oordeel bij voorkeur niet bevoegd moeten zijn om medische 
persoonsgegevens te verwerken, zoals toegelicht in paragraaf 4.3.2. 

• een ander belangrijk punt in de wettelijke regelingen betreft de vraag welk deel van de 
bestrijding van fraude en oneigenlijk gebruik voor rekening komt van de zorgkantoren en de 
gemeente en welk deel voor rekening van de SVB. Ons advies is uniform vast te leggen dat de 
SVB de persoonsgegevens (exclusief medische gegevens) alleen aan een formele controle moet 
onderwerpen ten behoeve van het zorgkantoor of de gemeente en overigens uniform en 
precies vast te leggen wat het zorgkantoor of de gemeente en wat de SVB in deze aanpak gaat 
doen. 

Met betrekking tot het gebruik van het burgerservicenummer voor het trekkingsrechtensysteem hebben 
wij geconstateerd dat dit voor 2014 voor geen van de drie pgb-soorten is geregeld in de betrokken 
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materiewetten (Wet op de Jeugdzorg, Wmo en AWBZ). Dit valt op omdat het gebruik van het bsn voor 
het trekkingsrechtensysteem voor 2015 deels expliciet geregeld is. Gebruik van het bsn door de SVB is 
niet geregeld in de Jeugdwet en niet expliciet geregeld in artikel 9.1.1, derde lid, WLZ, maar wel in art. 
4.2.10 Wmo 2015 4 , waar de SVB genoemd wordt in de opsomming van instanties die het bsn gebruiken. 
Het ontbreken van de expliciete vermelding van de SVB in de Jeugdwet en de WLZ valt op, maar maakt 
de verwerking van het bsn door de SVB als overheidsorgaan niet onrechtmatig. Op grond van de Wet 
algemene bepalingen burgerservicenummer is de SVB gerechtigd om het bsn te gebruiken. 

Tenslotte is in de PIA's en in paragraaf 4.3 per afzonderlijke wet de aandacht gevestigd op kleinere 
punten waarin wordt afgeweken van de algemene lijn zoals die met name in de Wmo 2015 is gevolgd. 

Onder het opschrift "Overkoepelende visie" hebben wij vanuit onze onderzoekservaring twee korte 
beschouwingen gegevens als bijdrage aan een overkoepelende visie op wat zich in het sociale domein 
afspeelt. De eerste beschouwing betreft de vraag of en hoe de gegevensuitwisseling in het sociale 
domein kan profiteren van standaardisering. De tweede vraag betreft de vraag of de overvloed aan 
wetgeving in het sociale domein beter kan worden gestructureerd. 

Met betrekking tot de eerste vraag trekken wij de conclusie dat het gebruik van standaardisering in de 
vorm van taxonomieën belangrijke voordelen heeft en misschien wel noodzakelijk is, maar tegelijkertijd 
grote en duurzame inspanningen vraagt om die voordelen binnen bereikt te brengen. Onzeker is ook 
welk bereik taxonomieën kunnen krijgen in de enorme diversiteit in het sociale domein. In zo'n situatie 
is het wellicht verstandig in het sociale domein op een beperkt en goed af te bakenen terrein proef te 
draaien met het gebruik van gegevenstaxonomieën. Naar onze waarneming zou het pgb- 
trekkingsrechtensysteem zo'n terrein kunnen zijn. 

Met betrekking tot de tweede vraag is uit onze PIA's en de daaruit getrokken conclusies is opnieuw 
gebleken dat het maken van consequente wetgeving lastig is als het gaat om een lappendeken van oude 
en nieuwe regelgeving op verschillende niveaus. Dat roept bij ons de vraag op of een integrale aanpak 
op wetgevingsterrein een stap vooruit kan worden geholpen door systematisch gegevens vast te leggen 


4 In het wetsvoorstel zoals in behandeling bij de Eerste Kamer (EK 2013-2014, 33841, A) vernummerd 
tot art. 5.2.9. 
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over thema's en begrippen in de huidige en toekomstige wetgeving die digitaal kunnen worden 
opgeroepen vanuit in het bijzonder de vastleggingen door de SDU. In feite vergt dit een mega operatie 
met taxonomieachtige trekken en zou deze visie niet zonder grondig onderzoek in structurele daden 
moeten worden ingezet. Ook hier zou proefdraaien op het thema persoonsgebonden budget met de 
aanpassing van de Zorgverzekering in gedachten en de aanwezigheid van een pgb in een ander deel van 
het sociale domein dan de zorg (pgb WIA) een uitdaging zijn. 
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2.Achtergrond 

In het Regeerakkoord van oktober 2012 kondigde het kabinet hervormingen in de langdurige zorg aan. 5 
In april 2013 werden in een brief 6 aan de Tweede Kamer deze hervormingen gespecificeerd. Het betreft 
hervormingen die onderdeel uitmaken van een grootscheepse decentralisatie waarbij de gemeenten in 
het sociale domein verantwoordelijk worden voor een integrale activerende ondersteuning van burgers 
die dat nodig hebben om maatschappelijk optimaal te (blijven) functioneren. De AWBZ wordt in dat 
kader vervangen door de Wet Langdurige zorg. De extramurale zorg, nu onderdeel van de Algemene 
Wet Bijzondere Ziektekosten (AWBZ), wordt vanaf 1 januari 2015 ondergebracht in de Wet 
maatschappelijke ondersteuning (Wmo 2015), de Zorgverzekeringswet (Zvw) en de Jeugdwet. 

Voor gemeenten betekent dit, dat zij met betrekking tot de Wmo voor inwoners van achttien jaar en 
ouder de zorg gaan organiseren die nu valt onder de AWBZ-functies Begeleiding, Persoonlijke Verzorging 
en Kortdurend Verblijf. Daarnaast worden gemeenten in verband met de Jeugdwet verantwoordelijk 
voor een groot deel van de langdurige zorg voor kinderen. Dit betekent dat een groot deel van het 
onder de AWBZ vallende persoonsgebonden budget vanaf 1 januari 2015 niet meer onder de nieuwe 
WLZ zal vallen, maar onder de Wmo 2015 en de Zorgverzekeringswet. Op de effecten die dit heeft, zal 
later in dit advies worden ingegaan. Van belang voor dit advies is dat ook het wetsvoorstel voor de Wmo 
2015 deel uitmaakt van de brede hervorming van de langdurige zorg en ondersteuning en al aanleiding 
heeft gegeven tot expliciete aandacht voor gegevensuitwisseling en gegevensbescherming 

In de brief aan de Tweede Kamer van 25 april 2013 zijn de uitgangspunten van de hervorming van de 
langdurige zorg beschreven: 

1. Uitgegaan wordt van wat mensen (nog) wel kunnen in plaats van wat zij niet kunnen. Kwaliteit 
van leven (welbevinden) staat voorop. 

2. Als ondersteuning nodig is, wordt allereerst gekeken naar het eigen, sociale netwerk en de 


5 Hetzelfde Regeerakkoord bevatte ook een passage over de toepassing van PIA's: "Bij de bouw van 
systemen en het aanleggen van databestanden is bescherming van persoonsgegevens uitgangspunt. 
Daar hoort een zogenaamd privacy impact assessment (PIA) standaard bij." 

6 Brief aan de Tweede Kamer, 25 april 2013, Hervorming langdurige zorg: naar een waardevolle 
toekomst 
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financiële mogelijkheden van betrokkenen en wordt de hulp dichtbij georganiseerd. 

3. Voor wie - ook met steun van de omgeving - niet (meer) zelfredzaam kan zijn, is er altijd (op 
participatie gerichte) ondersteuning en/of passende zorg. 

4. De meest kwetsbare mensen krijgen recht op passende zorg in een beschermende, intramurale 
omgeving in een nieuwe kern-AWBZ. 

Wat betreft het persoonsgebonden budget wordt aangegeven dat het kabinet in de nieuwe Wmo en de 
kern-AWBZ een recht op het pgb creëert onder stringente voorwaarden. 


Onderdelen van de AWBZ die overwegend gericht zijn op ondersteuning en participatie worden dus 
onder de verantwoordelijkheid van gemeenten gebracht. 

(...) 

De brede verantwoordelijkheid van gemeenten binnen het sociale domein - want ook de 
Participatiewet wordt gedecentraliseerd - biedt ruimte voor dwarsverbanden op lokaal niveau. Met 
de gemeentelijke verantwoordelijkheid in het kader van de nieuwe Jeugdwet krijgt dit nog een extra 
impuls. Zorg gericht op genezing of behoud van lichamelijke en geestelijke functies, zoals verpleging, 
wordt verleend vanuit de Zvw. Om de samenhangende zorg vanuit de Zvw te versterken, worden 
onderdelen van de huidige AWBZ die gericht zijn op behandeling en verpleging onder de Zvw 
gebracht. Vanwege de samenhang met de Jeugdwet wordt daar behandeling tot 18 jaar voor 
kinderen met een verstandelijke beperking of psychiatrische aandoening samengebracht. De meest 
kwetsbare mensen houden bescherming in een nieuwe kern-AWBZ. De grenzen tussen de Wmo, 

Zvw, Jeugdwet en kern-AWBZ worden scherp getrokken om afwenteling tegen te gaan. Tegelijkertijd 
is afstemming en samenhang nodig. Het kabinet wil bevorderen dat gemeenten, zorgverzekeraars en 
zorgkantoren intensief samenwerken bij het tot stand brengen van een integrale ondersteuning op 
maat. 


2.1. Wijzigingen vanaf 2015: zorg via gemeente of 
zorgverzekering^ 

Het kabinet wil de AWBZ vanaf 2015 ingrijpend hervormen. Alleen de zwaarste, langdurige zorg wordt 
dan nog vergoed uit de nieuwe WLZ. Lichtere vormen van AWBZ-zorg gaan naar gemeenten of worden 
geregeld via de zorgverzekering. De taakverdeling ziet er vanaf 2015 als volgt uit. 


7 Ontleend aan: www.rijksoverheid.nl/onderwerpen/algemene-wet-bijzondere-ziektekosten- 
awbz/veranderingen-in-de-awbz 
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Afbeelding 1: Hervorming Langdurige Zorg 8 . 


8 Ontleend aan: rijksoverheid.nl/onderwerpen/algemene-wet-bijzondere-ziektekosten- 
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Gemeenten gaan zorgen voor de ondersteuning bij participatie, beschermd wonen en mantelzorg. 
Zorgverzekeraars: medische zorg, zoals verpleging en langdurige geestelijke gezondheidszorg, wordt 
geregeld in de zorgverzekering. De verzorging en de wijkverpleging zal vanaf 2015 in samenhang vanuit 
de aanspraak wijkverpleging in de zorgverzekering geboden worden. 

De Rijksoverheid blijft verantwoordelijk voor de langdurige zorg (met uitzondering van de langdurige 
geestelijke gezondheidszorg). Daarmee wordt de zwaardere zorg voor ouderen en gehandicapten in 
instellingen bedoeld. Die zorg blijft vergoed uit de opvolger van de AWBZ: de WLZ. Cliënten gaan een 
hogere eigen bijdrage betalen. 

Het kabinet wil dat mensen die zorg nodig hebben, langer thuis kunnen blijven wonen. Op die manier 
blijft de zorg betaalbaar en kunnen mensen langer over hun eigen leven blijven beslissen. Daarom 
krijgen meer mensen een indicatie voor zorg thuis (extramurale zorg). 

De invoering van pgb-trekkingsrechten maakt deel uit van deze brede hervorming van de langdurige 
zorg. De samenhang van de WLZ met de Jeugdwet, de Wmo en de Zvw brengt met zich mee dat de 
gegevensuitwisseling die nodig is voor de WLZ steeds ook in het licht van een integrale aanpak moet 
worden bezien. Voor het advies betekent het dat steeds wanneer er sprake is van gegevensuitwisseling 
de verbinding tussen de samenhangende wetten in het oog moet worden gehouden. 


2.2. De WLZ en de Wmo 2015 

De brief * 9 aan de Tweede Kamer van 25 april 2013 schetste al de integrale benadering van het gehele 

sociale domein waar de WLZ en de Wmo 2015 onderdeel van zijn: 

Sinds de invoering van de Wmo in 2007 zijn gemeenten aan de slag met De Kanteling. Deze 
ontwikkeling sluit aan bij de visie van het kabinet op de langdurige zorg. De burger en de 
gemeente gaan samen in gesprek, waarbij de individuele behoeften en mogelijkheden centraal 
staan in plaats van de beperking of de zorgvraag. In goed overleg wordt gekeken naar de 


awbz/veranderingen-in-de-awbz. Geraadpleegd 3 maart 2014 

9 Brief aan de Tweede Kamer, 25 april 2013, Hervorming langdurige zorg: naar een waardevolle 
toekomst 
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mogelijkheden van de burger zelf en die van zijn sociale omgeving. Als de burger met behulp van 
het eigen netwerk redelijkerwijs niet in staat is om te participeren, kan een beroep worden gedaan 
op ondersteuning door de gemeente. Hierbij wordt eerst verkend of een (meer doelmatige) 
algemene of collectieve voorziening toereikend is. Individuele voorzieningen zijn beschikbaar indien 
een collectieve voorziening ontoereikend is. Gemeenten zijn verantwoordelijk voor de 
ondersteuning van mensen in het gehele sociale domein op grond van de Wmo, Jeugdwet en de 
Participatiewet. Hierdoor zijn zij beter in staat om te komen tot een oplossing, die aansluit bij de 
behoeften en mogelijkheden van hun inwoners. Overigens krijgen gemeenten ook in het kader van 
de Jeugdwet te maken met een aantal cliënten die tot dusver onder de AWBZ vallen. 

Gemeenten krijgen per 1 januari 2015 op grond van de Wmo een brede verantwoordelijkheid voor 
de ondersteuning van burgers die beperkt kunnen participeren. Door gerichte ondersteuning bij het 
voeren van regie op het eigen leven, het uitvoeren van algemeen dagelijkse levensverrichtingen en 
het ontmoeten van anderen, kunnen burgers met een beperking langer thuis blijven wonen en 
participeren in de maatschappij. Dit draagt bij aan hun welbevinden en voorkomt onnodige 
medicalisering. De aanspraken op extramurale zorg in de AWBZ komen te vervallen, de Wmo wordt 
aangepast en de bijbehorende budgetten worden overgeheveld naar gemeenten. Dit betekent geen 
overheveling van rijkstaken, maar wel een overheveling van het budget zodat gemeenten in grote 
beleidsvrijheid ondersteuning op maat kunnen organiseren. Derhalve kan men, anders dan aan de 
AWBZ, geen verzekerde rechten ontlenen aan de Wmo. 

Van gemeenten wordt verwacht dat zij onderzoek naar de ondersteuningsbehoeften uitvoeren in goede 
samenspraak met de mensen om wie het gaat en dat zij samen met betrokkenen komen tot een zo goed 
mogelijk afgestemde dienstverlening. In de hiervoor genoemde brief over de hervorming van de 
langdurige zorg is aangegeven dat in de Zorgverzekeringswet (Zvw) een nieuwe aanspraak 
thuisverpleging («zorg in de wijk») wordt gecreëerd. Die aanspraak omvat verpleging en verzorging in de 
wijk die verband houdt met de behoefte aan geneeskundige zorg. Bij de uitwerking van de 
beleidsvoornemens is nader in kaart gebracht voor welke cliënten die samenhang geldt. Daarbij is 
gebleken dat zich bij de overgrote meerderheid van de cliënten een nauwe (zorginhoudelijke) 
samenhang voordoet in deze typen van zorg. De verpleging en verzorging wordt vanuit één team 
geboden en veelal door dezelfde mensen. Slechts voor een kleine groep wordt verzorging meer in 
samenhang met begeleiding geleverd. Deze constatering heeft geleid tot een andere 
verantwoordelijkheidsverdeling tussen gemeenten en verzekeraars dan de regering aanvankelijk, ten 
tijde van het sluiten van het regeerakkoord, voor ogen stond. De gemeenten krijgen de opdracht om 
samen te werken met zorgverzekeraars, wier taken eveneens worden uitgebreid, zorgaanbieders en 
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andere betrokken partijen op het gebied van jeugdzorg, onderwijs, preventieve gezondheidszorg, 
welzijn, wonen en werk en inkomen. 10 


Voor het persoonsgebonden budget vanaf 2015 zijn de navolgende passages uit de memorie van 
toelichting op de Wmo 2015 leidend: 

De regering heeft in een brief van 6 november 2013 * 11 aangegeven dat overwegingen van 
zorginhoudelijke aard doorslaggevend zijn geweest bij de keuze de persoonlijke verzorging niet 
onder te brengen in de Wmo 2015 maar in de Zvw. Benadrukt wordt dat ook in de zorgverzekering 
een omslag gaande is en beoogd wordt: met het onderbrengen van de persoonlijke verzorging en 
verpleging in de Zvw wordt immers de eerstelijnszorg versterkt. Samen met de huisartsenzorg en 
eventueel andere eerstelijnszorg (zoals de specialist ouderengeneeskunde) moet deze «zorg in de 
wijk» erop gericht zijn om mensen zo lang mogelijk thuis te laten wonen, ondanks ouderdom of 
beperking. Daarmee wordt duurdere zorg voorkomen, zoals ziekenhuisopnames of intensieve zorg 
uit hoofde van de Wet langdurige zorg (Wlz). Omgekeerd, kunnen mensen sneller naar huis na een 
ziekenhuisopname. Verzekeraars worden verantwoordelijk voor het hele geneeskundige domein, 
van verpleging en verzorging thuis tot en met opname in het ziekenhuis. Zo ontstaat ook een 
financiële prikkel om zo doelmatig mogelijk kwalitatief goede zorg te leveren in de eerste lijn. De 
bekostiging van de nieuwe aanspraak wijkverpleging in de Zvw zal zo worden ingericht dat een 
prikkel ontstaat voor «ontzorgen» en het vergroten van de zelfredzaamheid. Uit de praktijk is 
gebleken dat een samenhangende levering van persoonlijke verzorging en verpleging door 
kleinschalige buurtteams goedkoper en cliëntvriendelijker kan zijn. Indien in een gemeente een 
sociaal team werkzaam is of een vergelijkbaar samenwerkingsverband, is de verpleegkundige functie 
in de wijk daarin vertegenwoordigd. Zijn er verschillende wijkverpleegkundigen werkzaam, dan zal 
een van hen met de gemeente afspreken welke persoon de schakelfunctie in het team vervult. 
Samenwerking tussen gemeenten, verzekeraars en aanbieders kan de kwaliteit van de 
dienstverlening vergroten (met een samenhangend aanbod van zorg en ondersteuning) en de kosten 
beheersen. 

Met het overhevelen van de persoonlijke verzorging naar de Zvw kan de verzekerde op basis van zijn 
zorgverzekering aanspraak maken op deze zorg dan wel op de vergoeding van de kosten van deze 
zorg. Zorgverzekeraars hebben een zorgplicht. Wat betreft de inhoud en omvang van het verzekerde 
pakket, wordt opgemerkt dat de regering die bepaalt en grote waarde hecht aan de beschikbaarheid 
van verpleging en verzorging voor iedereen. Zorgverzekeraars kunnen niet uit eigen beweging 
beslissen over de omvang van het verzekerde basispakket. De positionering van de persoonlijke 
verzorging heeft uiteraard gevolgen voor aanbieders. De omslag die aanbieders zullen moeten 
maken, hangt samen met de reikwijdte van de aanspraak verpleging in de wijk die zal worden 
opgenomen in een wijziging van het Besluit zorgverzekering die op 1 januari 2015 in werking zal 
treden. De regering zal bij gelegenheid van de aanpassing van die regelgeving ingaan op de gevolgen 
daarvan voor de zorgaanbieders. Overigens hecht de regering eraan op te merken dat ook bij de 
uitvoering van de AWBZ elementen van marktwerking een rol spelen, zoals vrijheid in contracteren 


10 Wetsvoorstel Wmo 2015, Kamerstukken II, 2013 - 2014, 33 841, nr. 3, blz. 2. 

11 Toekomst AWBZ, Kamerstukken II, 2013 - 2014, 30 597, nr. 380. 
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van zorgaanbieders en het systeem van «individueel declareren». Gemeenten blijven, zo is de 
overtuiging van de regering, ook zonder de verantwoordelijkheid voor de persoonlijke verzorging, de 
regisseur in het sociale domein. 12 

Uit het voorgaande ontstaat het beeld dat de WLZ zich zal richten op de intramurale langdurige zorg en 
dat de gemeenten de regie gaan voeren over de extramurale zorg in samenwerking met de 
zorgverzekeraars. Een en ander zal betekenen dat voor de uitvoering van het persoonsgebonden budget 
vooral de gemeenten de regierol zullen voeren in samenwerking met alle andere partijen in de zorg, de 
Sociale Verzekeringsbank in dit geval daaronder begrepen. In de praktijk zal de regierol van de 
gemeenten veelal in handen worden gelegd van samenwerkingsverbanden van gemeenten. Zo heeft de 
VNG in mei 2013 al in kaart gebracht dat er 43 samenwerkingsverbanden tussen gemeenten voor de 
Wmo zijn. Het lijkt er dus op dat deze samenwerkingsverbanden in de praktijk de spin in het web functie 
vervullen ook als het gaat om de vraagstukken van de gegevensuitwisseling en gegevensbescherming bij 
de uitvoering van het persoonsgebonden budget. Formeel moet voor deze vraagstukken worden 
gekeken naar de zorgwetgeving zoals die wordt beoogd in het sociale domein per 1 januari 2015: de 
Wmo 2015, de WLZ, de ZVW en de Jeugdwet en de daaronder ressorterende lagere regelgeving. 
Bestuurlijk levert dit een uitdaging op omdat de gemeenten en de VNG in deze situatie te maken 
hebben met verschillende departementen (VWS, BZK, SZW, V&J) voor de sturende regelgevingen en wat 
betreft de uitvoering zelf aan zet zijn voor verordeningen en gemeenschappelijke regelingen die niet op 
voorhand op modelbasis tot stand kunnen komen. 


2.3. Gegevensbescherming in de WLZ 

Gegevensuitwisseling is essentieel voor de noodzakelijke afstemming tussen de verschillende partijen 
betrokken bij pgb-trekkingsrechten. SVB, pgb-houders, gemeenten, zorgaanbieders, zorgkantoren, 
zorgverzekeraars CIZ en CAK maken allen gebruik van persoonsgegevens van cliënten. Voor een goede 
beheersing van pgb-trekkingsrechten is inzicht en overzicht nodig. 

Ook in het wetsvoorstel WLZ wordt, net als in de Wmo 2015 en de Jeugdwet, aangespoord door het 
College Bescherming Persoonsgegevens en de Raad van State, ruim aandacht gegeven aan dit inzicht en 


12 Wetsvoorstel Wmo 2015, Kamerstukken II, 2013 - 2014, 33 841, nr. 3, blz. 4. 
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overzicht en de vertaling daarvan in regelgeving en toelichting. Bij de parlementaire behandeling moet 
immers binnenkort zoveel mogelijk worden voorkomen dat de onderdelen van het wetsvoorstel die 
gaan over gegevensbescherming, knelpunten opleveren die vermeden hadden kunnen worden. Bij de 
parlementaire behandeling mag geen twijfel bestaan of de verwerkingen van persoonsgegevens zoals 
die in het wetsvoorstel worden beoogd voldoen aan de toepasselijke juridische eisen. 

De impact op de persoonlijke levenssfeer van de gegevensverwerkingen die nodig zijn voor de 
uitvoering van de pgb-trekkingsrechten is aanzienlijk. De verwerkingen hebben in beginsel onder meer 
betrekking op de gezondheid van betrokkenen. Daarmee worden er bijzondere persoonsgegevens 
verwerkt, nl. medische persoonsgegevens. En er worden persoonsgegevens van zogenoemde 
'kwetsbare' personen verwerkt. 

Vanwege de aard van het onderwerp - het pgb is immers bedoeld om zorg te verlenen - ligt het voor de 
hand dat bijzondere persoonsgegevens verwerkt worden. Bij de behandeling van het wetsvoorstel WLZ 
zal de gegevensbescherming naar verwachting dan ook veel aandacht krijgen. Tegen deze achtergrond 
moet ook de toezegging van de staatssecretaris aan de Tweede Kamer gezien worden "dat bij beide 
wetgevingstrajecten [Wmo en WLZ] rekening wordt gehouden met een privacytoets". In dit advies richt 
de privacytoets zich in de eerste plaats op de beheerder van de nieuwe trekkingsrechten, de SVB, die 
daarvoor met "wettelijke ondersteuning" persoonsgegevens moet verwerken. 

Een wettelijke verwerkingsgrond moet voldoen aan de vereisten van subsidiariteit en proportionaliteit. 
Subsidiariteit wil zeggen dat hetzelfde resultaat ook bereikt worden op een andere manier die minder 
ingrijpt in de persoonlijke levenssfeer. Proportionaliteit brengt met zich mee dat de belangen van de 
betrokkenen bij de eerbiediging van de persoonslijk levenssfeer worden afgewogen tegen het belang 
dat de verantwoordelijke heeft bij het verwerken van de persoonsgegevens. De Leidraad voor het 
afstemmen van wetgeving op de Wbp formuleert het aldus: "wanneer blijkt dat de gewenste 
voorziening noodzaakt tot het opstellen van nieuwe wetgeving (...) voorzie dan eerst in een grondige 
motivering van het zwaarwegend algemeen belang en expliciteer welke passende waarborgen voor de 
bescherming van de persoonlijke levenssfeer worden geboden." 13 


13 Leidraad p.13 
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3. Juridisch kader pgb-trekkingsrechten 

3.1. Wettelijke regelingen van de uitvoering door SVB 


Sinds 1 januari 2014 

Als gevolg van de wijziging van de Regeling subsidies AWBZ 14 is het sinds 1 januari 2014 mogelijk voor 
pgb-houders in drie pilot-regio's om hun pgb om te laten zetten in een trekkingsrecht op het pgb dat 
wordt beheerd door de SVB. 

Op grond van artikel 2.6.3c van die regeling kan het zorgkantoor op verzoek van een verzekerde in 2014 
een trekkingsrecht verlenen dan wel een verleend persoonsgebonden budget omzetten in een verlening 
van een trekkingsrecht. De SVB wordt dan ingeschakeld op grond van artikel 2.6.4, eerste lid, onderdeel 
k, Regeling Subsidies AWBZ. 

Een zelfde situatie doet zich voor bij gemeenten die in 2014 aangesloten willen worden op de 
trekkingsrechten voor Wmo-pgb's. Daarvoor moet de gemeentelijke Wmo-verordening worden 
aangepast en dat moet op tijd gebeuren.. 

Vanaf 1 januari 2015 

De SVB wordt in de Wmo 2015, de WLZ en de Jeugdwet aangewezen als de instantie die de pgb-t 
uitvoert. Met ingang van 1 januari 2015 zal de SVB op grond van deze wetten de volgende taken 
uitvoeren. 

In artikel 2.6.2, eerste lid, Wmo 2015 is bepaald dat de SVB namens de colleges van de gemeenten 
de betalingen ten laste van verstrekte persoonsgebonden budgetten, alsmede het hiermee 
verbonden budgetbeheer (het trekkingsrechtensysteem). Bij of krachtens algemene maatregel van 
bestuur kunnen op grond van artikel 2.6.2, tweede lid, Wmo 2015 voorts regels worden gesteld over 
de wijze waarop de Sociale Verzekeringsbank deze taak uitvoert. 

In artikel 3.3.3, vijfde lid, WLZ is bepaald dat de SVB namens de Wlz-uitvoerders de betalingen ten 
laste van verstrekte persoonsgebonden budgetten, alsmede het hiermee verbonden budgetbeheer, 


14 Regeling van de Staatssecretaris van Volksgezondheid, Welzijn en Sport van 13 december 2013, 
kenmerk 181139-114441-DLZ, houdende wijziging Regeling subsidies AWBZ in verband met het 
persoonsgebonden budget 
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uitvoert. Bij of krachtens algemene maatregel van bestuur kunnen op grond van artikel 3.3.3, eerste 
lid en zesde lid, onderdeel d, WLZ voorts regels worden gesteld over de wijze waarop de Sociale 
Verzekeringsbank deze taak uitvoert. 

In artikel 8.1.8 Jeugdwet is bepaald dat de SVB namens de colleges van de gemeenten de betalingen 
ten laste van verstrekte persoonsgebonden budgetten uitvoert (het trekkingsrechtensysteem). 
Anders dan in de Wmo 2015 en de WLZ wordt hierbij niet gesproken over het budgetbeheer als 
onderdeel van het trekkingsrechtensysteem en is evenmin - zoals in de Wmo 2015 - voorzien in de 
mogelijkheid om bij of krachtens algemene maatregel van bestuur regels te stellen over de wijze 
waarop de Sociale Verzekeringsbank deze taak uitvoert. 


3.2. Wet bescherming persoonsgegevens 15 

De Wet bescherming persoonsgegevens (Wbp ) geeft regels voor het verwerken van persoonsgegevens. 

In deze paragraaf worden de belangrijkste bepalingen uit de Wbp over het rechtmatig omgaan met 

persoonsgegevens samengevat. 

• Persoonsgegevens mogen alleen in overeenstemming met de wet en op een behoorlijke en 
zorgvuldige manier worden verwerkt; 

• Persoonsgegevens mogen alleen voor welbepaalde, vooraf uitdrukkelijk omschreven en 
gerechtvaardigde doeleinden worden verzameld en vervolgens alleen verder worden verwerkt voor 
doeleinden die daarmee verenigbaar zijn; 

• Degene over wie gegevens worden verwerkt, moet ten minste op de hoogte zijn van de identiteit 
van de verantwoordelijke en van het doel van de verwerking waarvoor de gegevens zijn bestemd; 

• De gegevensverwerking moet op een passende manier worden beveiligd; 

• Voor bijzondere gegevens, zoals gegevens over ras, gezondheid en geloofsovertuiging, gelden extra 
strenge regels. 


15 Voor deze paragraaf is onder meer gebruik gemaakt van het rapport: WODC, Gegevensuitwisseling 
door Toezichthouders, onderzoek uitgevoerd in opdracht van het WODC door UvA, juni 2012 (TK 2011- 
2012, 32761, nr. 43) 
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Persoonsgegeven 

Een persoonsgegeven is volgens de Wbp elk gegeven over een geïdentificeerde of identificeerbare 
natuurlijk persoon. Identificatie is bijvoorbeeld mogelijk aan de hand van de NAW-gegevens (naam, 
adres, woonplaats). In principe zijn alle gegevens die over identificeerbare personen verwerkt worden, 
persoonsgegevens, denk aan: 

• naam-, adresgegevens, postcodes, woonplaatsgegevens, telefoon; 

• leeftijd, opleiding, werkervaring, gezondheid; 

• schulden, vorderingen, kenmerken/kentekens van eigendommen, videobeelden. 

In het algemeen zijn uitkomsten van statistisch onderzoek niet terug te voeren tot identificeerbare 
personen, en dus geen persoonsgegevens. Ze vallen derhalve buiten de reikwijdte van de Wbp. 
Gegevens over een rechtspersoon (een BV of een vereniging bijvoorbeeld) zijn in het algemeen ook 
geen persoonsgegevens. 

Verwerken 

Onder het verwerken verstaat de Wbp elke handeling of elk geheel van handelingen met betrekking tot 
persoonsgegevens. Ook dit is dus een zeer ruim begrip. Handelingen die er volgens de Wbp in ieder 
geval onder vallen zijn het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, 
raadplegen, gebruiken, doorzenden, verspreiden, beschikbaar stellen, samenbrengen, met elkaar in 
verband brengen, afschermen, uitwissen en vernietigen van gegevens. Een verwerking kan uit één of 
meer van deze handelingen bestaan. Verwerkingshandelingen die in het maatschappelijk verkeer als een 
eenheid worden beschouwd, worden gezien als één gegevensverwerking. Een dergelijk geheel kan in 
één melding worden opgenomen. 

Verantwoordelijke 

Volgens de Wbp is de verantwoordelijke voor een verwerking degene die het doel en de middelen voor 
de verwerking vaststelt. De Wbp legt aan de verantwoordelijke voor een 'verwerking van 
persoonsgegevens' een aantal verplichtingen op. Er kunnen bij een verwerking meerdere 
verantwoordelijken zijn. Is dat het geval, dan zal de onderlinge verdeling van verantwoordelijkheid 
tussen de verantwoordelijken duidelijk gemaakt moeten worden. 

Art. 7 Welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen 
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'Welbepaald en uitdrukkelijk omschreven 1 houdt in dat men geen persoonsgegevens mag verzamelen 
zonder een precieze doelomschrijving. Het doel moet zijn bepaald alvorens men tot verzamelen 
overgaat. 'Welbepaald' houdt in dat deze doelomschrijving duidelijk moet zijn, niet zo vaag of ruim bij 
voorbeeld dat zij tijdens het verzamelproces geen kader kan bieden waaraan getoetst kan worden of de 
gegevens nodig zijn voor dat doel of niet. Het doel mag ook niet in de loop van het verzamelproces 
geformuleerd worden. Uitdrukkelijk omschreven houdt in dat de verantwoordelijke het doel waarvoor 
hij verwerkt, moet hebben omschreven bij de melding die hij op grond van artikel 27 verplicht is te 
doen. 16 

'Gerechtvaardigde doelen' wil zeggen dat de verwerking gebaseerd moet zijn op een doel dat voldoet 
aan artikel 8. 

Art. 8 Grondslag 

Artikel 8 Wbp bepaalt wanneer de verwerking van persoonsgegevens gerechtvaardigd is. Dat is het geval 
wanneer de betrokkene uitdrukkelijk toestemming heeft verleend (sub a) of wanneer de verwerking 
noodzakelijk is ter uitvoering van een overeenkomst (sub b), ter nakoming van een wettelijke 
verplichting (sub c), ter vrijwaring van een vitaal belang van de betrokkene (sub d), voor de goede 
vervulling van een publiekrechtelijke taak door een bestuursorgaan (sub e) of ter behartiging van het 
gerechtvaardigd belang van de verantwoordelijke, tenzij het belang of de fundamentele rechten en 
vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, 
prevaleert (sub f). 

In een aantal gevallen zal de gegevensverwerking door bestuursorganen kunnen worden gebaseerd op 
artikel 8 sub c Wbp. Dat is echter lang niet altijd het geval. Een gegevensverwerking ter vervulling van 
een publiekrechtelijke taak zal immers veelal geschieden zonder dat daaraan een wettelijke verplichting 
ten grondslag ligt. In dat geval zal de gegevensverwerking onder artikel 8 sub e Wbp moeten vallen. Die 
bepaling ziet, zo blijkt uit de tekst, op een tweetal verschillende situaties. Allereerst kan een verwerking 
noodzakelijk zijn met het oog op een publiekrechtelijke taak die het bestuursorgaan zelf verricht. 
Daarnaast laat de bepaling uitdrukkelijk ruimte voor verwerking van gegevens ten behoeve van de 
publiekrechtelijke taak die door een ander bestuursorgaan wordt verricht, voor zover dat met het oog 
op die taak noodzakelijk is. 

16 Wbp-naslag: www.cbpweb.nl/wbpnaslag/2/Paginas/wbp-artikel-7.aspx 
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Een van de specifieke uitgangspunten van de Wbp is het beginsel van doelbinding. Dit beginsel komt 
vooral tot uitdrukking in de artikelen 7 en 9 Wbp. De doelbinding dient reeds bij het verzamelen van 
gegevens aanwezig te zijn. Artikel 7 schrijft voor dat persoonsgegevens voor welbepaalde, uitdrukkelijk 
omschreven en gerechtvaardigde doeleinden worden verzameld. Er moet dus een duidelijke 
doelomschrijving zijn alvorens gegevens verzameld mogen worden. Deze dient welbepaald te zijn, dus 
niet zo vaag of ruim dat zij tijdens het verzamelproces geen kader kan bieden waaraan getoetst kan 
worden of de gegevens nodig zijn voor dat doel of niet. Het is evenmin toegestaan om het doel pas te 
formuleren in de loop van het verzamelproces. Is er sprake van een meldingsplicht op grond van artikel 
27 Wbp, dan dient het doel van de verwerking bij de melding uitdrukkelijk te zijn omschreven. 

Het beginsel van doelbinding is ook terug te vinden in artikel 9 Wbp, dat aan de reeks van 
gerechtvaardigde verwerkingen in artikel 8 Wbp een meer algemeen vereiste toevoegt. Mede daarom 
heeft deze bepaling een niet te onderschatten belang. 

Artikel 9: verdere verwerking 

Artikel 9, eerste lid, Wbp bepaalt dat persoonsgegevens niet verder worden verwerkt op een wijze die 
onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. Daarmee maakt de bepaling duidelijk 
dat deze verdere verwerking niet ongeoorloofd is, maar stelt zij daar tegelijkertijd een grens aan. Deze 
eis van verenigbaar gebruik geldt zowel binnen als buiten de organisatie van de verantwoordelijke. Het 
tweede lid kent een niet-limitatieve opsomming van factoren die mede bepalend zijn voor het antwoord 
op de vraag of er sprake is van verenigbaar gebruik. Elk van de genoemde factoren dient - mogelijk in 
samenhang met andere factoren die in het concrete geval als relevant moeten worden beschouwd - in 
onderling verband te worden beoordeeld en gewogen ter beantwoording van de vraag of sprake is van 
verenigbaar gebruik. 

Voldoende verwantschap: dubbele doelbinding 

Een belangrijke factor is de verwantschap tussen het doel waarvoor de verantwoordelijke de gegevens 
overweegt te gebruiken enerzijds en het doel waarvoor de gegevens zijn verkregen anderzijds (artikel 9, 
tweede lid, sub a, Wbp). Deze verwantschapsfactor kan bij uitstek als uitdrukking van het beginsel van 
doelbinding worden beschouwd. Hoe nauwer de verwantschap, hoe eerder er sprake is van verenigbaar 
gebruik. Een tweede factor is de aard van de gegevens (artikel 9, tweede lid, sub b, Wbp). Te denken valt 
uiteraard aan de in artikel 16 Wbp genoemde bijzondere gegevens. Daarnaast wijst de MvT erop dat de 
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context waarin gegevens worden gebruikt, deze tot gevoelige gegevens kunnen maken. Zo kan een 
persoonsgegeven dat ziet op een betalingsachterstand, gevolgen hebben voor de kredietwaardigheid. 


Daarbij geldt dat hoe gevoeliger het gegeven, hoe minder snel van het oorspronkelijke doel mag worden 
afgeweken. Een derde factor wordt gevormd door de gevolgen van de beoogde verwerking voor de 
betrokkene (artikel 9, tweede lid, sub c, Wbp). Daarbij is vooral ook relevant of de gegevens worden 
gebruikt als basis voor mogelijke beslissingen jegens de betrokkene. De twee laatstgenoemde factoren 
zijn de wijze waarop de gegevens zijn verkregen (artikel 9, tweede lid, sub d, Wbp), bijvoorbeeld buiten 
betrokkene om of juist met diens instemming, en de mate waarin jegens betrokkenen wordt voorzien in 
passende waarborgen. Genoemde factoren dienen in onderling verband te worden toegepast. Zo is het 
gebruik van de gegevens in de gemeentelijke basisadministratie, die weinig informatie bevatten, voor 
uiteenlopende doelen veel eerder in overeenstemming met artikel 9 Wbp dan het door een verzekeraar 
aan een fabrikant verstrekken van gegevens van patiënten die een bepaalde operatie hebben 
ondergaan. 


Wanneer mogen medische persoonsgegevens verwerkt worden? 

In principe geldt een verwerkingsverbod voor medische gegevens. Verwerking is uiteraard wel 

toegestaan door hulpverleners in het kader van gezondheidszorg en maatschappelijke dienstverlening. 

Ook verzekeraars mogen medische persoonsgegevens verwerken voor de vaststelling van risico's en het 

uitvoeren van de verzekeringsovereenkomst. Verder maakt artikel 21 lid 1 sub f het mogelijk dat 

medische persoonsgegevens verwerkt worden door: 

"bestuursorganen, pensioenfondsen, werkgevers of instellingen die te hunnen behoeve werkzaam 
zijn voor zover dat noodzakelijk is voor een goede uitvoering van wettelijke voorschriften (...) die 
voorzien in aanspraken die afhankelijk zijn van de gezondheidstoestand van de betrokkene". 

De Memorie van Toelichting op de Wbp geeft de volgende uitleg bij dit artikel 21 lid 1 sub f: 

"(...(Daarnaast bestaan er in de sociale zekerheidswetgeving materiële voorzieningen of 
verstrekkingen die samenhangen met de gezondheidstoestand waarin de betrokkene zich bevindt, 
zoals bijvoorbeeld het aanbrengen van specifieke voorzieningen in woningen in verband met een 
lichamelijke handicap. Om precies te kunnen beoordelen welke voorziening in een specifiek geval 
noodzakelijk is, is eveneens een medische beoordeling noodzakelijk. Al deze regelingen zijn 
ondergebracht onder de algemene noemer van "aanspraken die afhankelijk zijn van de 
gezondheidstoestand van de betrokkene" (Wbp, MvT, p.113). 


De wetgever heeft de verwerking van medische gegevens dus beperkt tot die gevallen waarin de 
verwerker zich gezien zijn functie (ook) moet bezighouden met een medische beoordeling. In de zorg 
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zijn dat naast de hulpverleners de indicatieorganen en partijen die op basis van de gezondheidstoestand 
beslissen over het toekennen van geïndiceerde voorzieningen. 


3.3. Adviezen van het CBP 

3.3.1. CBP-advies over Wet UZ 17 

Het CBP adviseerde op 9 december 2013 over een eerdere versie van het wetsvoorstel, dat toen nog de 
titel Wet Langdurige Intensieve Zorg droeg. De volgende onderdelen van het advies zijn relevant voor de 
huidige onderzoeksvraag. Het CBP begint met een algemene opmerking dat een overkoepelende en 
onderbouwde visie op de gegevensverwerking in drie wetten noodzakelijk is. 


Beoordeling 

Algemene opmerkingen 

Het wetsvoorstel UZ maakt onderdeel uit van het majeure wetgevingscomplex waarmee 
verantwoordelijkheden en taken van zorgverzekeraars en gemeenten in de zorg aanzienlijk worden 
gewijzigd. Het CBP heeft eerder geadviseerd over het wetsvoorstel Wmo 2015 en het voorstel 
Jeugdwet, die beide ook deel uitmaken van dit wetgevingscomplex. In dat kader heeft het CBP reeds 
opgemerkt dat, gelet op in die wetten voorziene wijzigingen in taken en verantwoordelijkheden van 
diverse instanties, het noodzakelijk is om tot een meer overkoepelende en onderbouwde visie op de 
verwerking van persoonsgegevens te komen. De wijze waarop de verwerking van persoonsgegevens 
transparant gemaakt kan worden is een belangrijk aandachtspunt. Aan de hand van zo'n visie kan 
ook worden bepaald op welke punten verdere afbakening en specificatie van de verwerking van 
persoonsgegevens in specifieke wettelijke bepalingen aangewezen is. 

Deze opmerking van het CBP is relevant voor de onderzoeksvraag, omdat de uitvoering van pgb- 
trekkingsrechten de drie genoemde wetten omvat en de uitvoerder van pgb-trekkingsrechten te maken 
krijgt met de samenhang of een gebrek daaraan. Het CBP heeft het verzoek om een samenhangende 
visie herhaald in het kader van de interdepartementale werkgroep onder leiding van het ministerie van 
Binnenlandse Zaken. Deze werkgroep kijkt daarbij voornamelijk naar sectoroverstijgende 
gegevensuitwisseling aan de hand van Verkenning Informatievoorziening Sociaal Domein. Het CBP heeft 
laten weten graag een PIA uitgevoerd te zien over het gehele sociale domein. 18 Een dergelijke 


17 Brief CBP aan VWS, 9 december 2013, Consultatie Wet Langdurige Intensieve Zorg 

18 Kamerbrief Minister van Binnenlandse Zaken en Koninkrijksrelaties, gesprek met CBP over 
gegevensdeling en privacy in het kader van de decentralisaties, 10 februari 2014. 
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veelomvattende PIA valt buiten het kader van het onderhavige onderzoek dat zich richt op het 
onderdeel pgb-trekkingsrechten. 


Verder dringt het CBP aan op 'voldoende specificatie van de gegevensverwerking die in verband met de 
specifieke taken van bepaalde instanties noodzakelijk is te achten'. Aan de hand van het wetsvoorstel is: 


moeilijk af te bakenen en te bepalen over welke gegevens die instanties, voor welke taak mogen 
beschikken en welke gegevens ze daarbij aan elkaar moeten verstrekken. Dit betekent dat de 
bepalingen onvoldoende specifiek zijn en de verwerking niet transparant. 

Dit probleem in de structuur van die bepalingen klemt te meer nu in de MvT bij het wetsvoorstel UZ 
sprake is van nieuwe doelstellingen (in de sfeer van afstemming met de uitvoering van andere 
wetten en/of in de sfeer van fraudebestrijding) die op zich ook weer aanleiding en legitimatie 
kunnen vormen voor intensivering van de uitwisseling van persoonsgegevens tussen de in die 
artikelen genoemde instanties. De uitwisseling van persoonsgegevens voor dergelijke doelstellingen 
ook nog onder de huidige 'container'-artikelen scharen, maakt een en ander nog minder transparant 
en controleerbaar. (...) Het CBP adviseert om op basis van een grondige analyse van de noodzakelijke 
gegevensverwerking in verband met diverse met en rond de uitvoering van de Wet UZ te 
onderscheiden doelstellingen een keuze te maken voor een daarop aangepaste structuur en 
vormgeving van bepalingen die zien op gegevensverwerking in het wetsvoorstel UZ. 

Conclusie 

Wij concluderen dat het CBP verzoekt om een samenhangende PIA voor het gehele sociale domein en 
een visie op de drie decentralisaties. Voor het onderdeel pgb-t bevat de onderhavige rapportage 
bouwstenen voor de samenhangende visie die het CBP in den brede verlangt. 

Het advies van het CBP om op basis van een analyse van de noodzakelijke gegevensverwerking in 
verband met de doelstellingen van de WLZ een keuze te maken voor de vormgeving van bepalingen over 
gegevensverwerking, herkennen we uit het CBP-advies over de Wmo 2015. Met gebruikmaking van de 
PIA die voor de Wmo 2015 is uitgevoerd, kon dit advies van het CBP worden ingevuld. Dat heeft ertoe 
geleid dat de doelstellingen van de verwerkingen in de Wmo 2015 met vruchtbaar resultaat per 
verantwoordelijke zijn uitgewerkt. 


3.3.2. CBP-advies over de Jeugdwet 19 

Het CBP constateerde dat het wetsvoorstel Jeugdwet leidt tot de volgende risico's voor de 
gegevensverwerking: 


19 CBP, Advies concept wetsvoorstel Jeugdwet, 5 maart 2013, www.cbpweb.nl/downloads_adv/z2013- 
00048.pdf 
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• bovenmatig uitwisselen van persoonsgegevens, door het koppelen van informatiebestanden; 

• gebruik van gegevens voor een ander doel dan waarvoor zij zijn verkregen, door het 
samenkomen van informatie bij gemeenten in combinatie met de ontschotting van domeinen; 

• beveiligingsproblemen, door de grote hoeveelheden persoonsgegevens over verschillende 
onderwerpen. 

(...) 

Het CBP constateert dat nog niet gebleken is dat gemeenten en andere betrokken partijen al 
maatregelen nemen om deze risico's te ondervangen en adviseert daarom gemeenten wettelijk te 
verplichten een privacy impact analyse (PIA) uit te voeren. Daarbij zouden ook de andere partijen die 
gegevens zullen gaan verwerken in het kader van de Jeugdwet, betrokken moeten worden. Het CBP 
adviseert bovendien om gemeenten wettelijk te verplichten om regelmatige audits uit te voeren, 
waarmee wordt gecontroleerd of aan de bepalingen van de Wbp en aanverwante wetgeving wordt 
voldaan. 

Conclusie 

Het CBP gaat in het advies niet in op de problematiek van de pgb-t en de daarmee samenhangende 
gegevensverwerking. Het advies van het CBP gaat vooral in op de risico's van het koppelen van 
informatiebestanden door verschillende partijen. Als gevolg van de Wmo 2015 en de Jeugdwet komt er 
meer informatie samen bij gemeenten. Hierdoor ontstaat het risico dat gegevens voor andere 
doeleinden gebruikt worden dan waarvoor ze oorspronkelijk verkregen zijn. De beveiliging van 
persoonsgegevens is zowel bij de uitvoering van de Wmo 2015 als bij de Jeugdwet een probleem. 
Daarover heeft het CBP zich eerder kritisch geuit 20 . 


3.3.3. CBP-advies over het wetsvoorstel Wmo 2015 21 

Het CBP merkt in de 'Opmerking vooraf' op dat het hoofdstuk in de memorie van toelichting over de 
bescherming van gegevens op het moment van advisering nog in bewerking is en dat CBP daarom geen 
volledig beeld heeft van de afwegingen in het kader van de gegevensbescherming. De adviesaanvraag 
aan het CBP dateert van 14 juni 2013. Sindsdien is de memorie van toelichting op dit punt aangevuld, 


20 CBP: gemeenten verwerken medische gegevens in strijd met de wet, 21 april 2011, www.cbpweb.nl 
Onderzoek naar de uitvoering van de Wmo bij vier gemeenten 

21 Brief van CBP aan staatssecretaris van VWS, 29 juli 2013, Advies concept wetsvoorstel 
maatschappelijke ondersteuning 2015 
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mede op grond van onze advisering en de door ons uitgevoerde PIA 22 , zodat sommige onderdelen van 
het advies niet meer van toepassing zijn. 


Voor zover van belang voor de pgb-t wordt hierna ingegaan op de afzonderlijke onderdelen van het 
advies van het CBP en de verwerking daarvan in het wetsvoorstel c.q. de memorie van toelichting. 


Het sociale domein 

Onder het kopje 'decentralisatie van taken in het sociale domein', adviseert het CBP: 

(1) In de MvT te toetsen of de verwerking van persoonsgegevens in het kader van de voorgenomen 
integrale aanpak van taken in het sociale domein zoals geregeld in verschillende 
(concept)wetsvoorstellen, gelet op de eisen van artikel 8 EVRM en de Wbp, kan worden 
gerechtvaardigd. 

(2) Een uiteenzetting in de MvT op te nemen van de waarborgen die worden getroffen ter 
ondervanging van de risico's inzake het bovenmatig delen van gegevens, het gebruiken van deze 
gegevens voor een niet verenigbaar doel en de beveiliging van gegevens. 

(3) Een privacy impact assessment uit te voeren waarmee in kaart wordt gebracht welke gegevens, 
voor welk doel, zullen worden verwerkt en welke waarborgen moeten worden getroffen om deze 
verwerkingen in overeenstemming te brengen met de eisen van de Wbp 

Dit advies is als volgt verwerkt in het wetsvoorstel 

De advisering door het Cbp heeft er mede toe bijgedragen dat de regering er in dit wetsvoorstel voor 
kiest de verwerking en verstrekking van persoonsgegevens zoveel mogelijk slechts met instemming 
van betrokkene te laten plaatsvinden. Met het oog op de ambitie om tot een meer integrale 
ondersteuning van ingezetenen in het sociale domein te komen, zal de regering een verkenning 
uitvoeren naar het vraagstuk en de mogelijkheden van een bredere informatievoorziening in het 
sociale domein. 23 


Onderzoek maatwerkvoorziening 

Over het onderwerp 'onderzoek maatwerkvoorziening' adviseert het CBP onder 'invulling onderzoek': 

in het wetvoorstel op te nemen welke gegevens gemeenten in het kader van het onderzoek van 
artikel 2.3.2 Wmo 2015 mogen verwerken en daarbij te voorzien in passende waarborgen. 

Dit advies is als volgt verwerkt: 

De gegevensverwerking door aanbieders van ondersteuningsvoorzieningen, voorheen geregeld in 
artikel 4.1.1, vierde lid, is nu opgenomen in artikel 4.1.2; daarbij is een onderscheid gemaakt tussen 
aanbieders van maatwerkvoorzieningen, die ook bijzondere persoonsgegevens over hun cliënten 


22 TK 2013-2014, 33841, nr.3 Memorie van Toelichting, bijlage Gegevensuitwisseling en 
gegevensbescherming rond de Wmo en AWBZ, Duthler Associates. 

23 TK 2013-2014, 33841, nr.3, p.103 
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moeten kunnen verwerken, en aanbieders van algemene voorzieningen die dat niet mogen. In de 
artikelen 4.1.3 zijn nu - exacter dan voorheen in artikel 4.1.1 - de bepalingen omtrent gegevensver¬ 
werking door het CAK opgenomen. In artikel 4.1.4 is een bepaling inzake gegevensverwerking door 
de SVB toegevoegd, die in het aan het college voorgelegde artikel 4.1.1 nog ontbrak. 24 


Het sociale netwerk 

Onder 'personen uit het sociale netwerk' adviseert het CBP: 

in de MvT in te gaan op de vraag of en zo ja welke (bijzondere) persoonsgegevens van personen uit 
het sociale netwerk van aanvragers van maatwerkvoorzieningen in het kader van het onderzoek van 
artikel 2.3.2, tweede lid, onder b, worden verwerkt. In het geval er persoonsgegevens over personen 
uit het sociale netwerk van de aanvrager worden verwerkt adviseert het CBP dit in de tekst van het 
wetsvoorstel op te nemen. 

Daarnaast adviseert het CBP in dat geval in het hoofdstuk over gegevensverwerking in de MvT een 
separate paragraaf op te nemen over de verwerking van gegevens van personen uit het netwerk van 
de aanvrager. 

Dit advies is als volgt verwerkt: 

Het derde lid [van 4.1.1] regelt dat persoonsgegevens van anderen uit het sociale netwerk mogen 
worden verwerkt; veelal zal voor deze personen kunnen worden volstaan met het verwerken van 
enige identificerende gegevens en informatie over wat betrokkene voor de cliënt kan betekenen. 
Voor het verwerken van bijzondere persoonsgegevens is ook hier slechts een basis als het gaat om 
de hulp die zij aan de cliënt bieden of kunnen bieden. 25 


Samenwerking met zorgverzekeraars en zorgaanbieders 

Over "samenwerking met zorgverzekeraars en zorgaanbieders" adviseert het CBP: 

in de MvT op te nemen welke persoonsgegevens genoemde actoren met elkaar kunnen delen, wat 
eventuele risico's van deze gegevensverwerking zijn en welke maatregelen worden getroffen om 
deze risico's te ondervangen 

Dit advies is als volgt verwerkt: 

Artikel 4.2.5 regelt in verband met de integrale aanpak van de problematiek binnen het sociale 
domein dat het college en de zorgverzekeraars en - aanbieders onder welke condities - 
ondubbelzinnige toestemming - over en weer verplicht zijn elkaar persoonsgegevens te 
verstrekken. 26 

In de tweede plaats zal de gemeente moeten aangeven welke mogelijkheden zij ziet om deze 
integrale dienstverlening door middel van samenwerking met zorgverzekeraars en zorgaanbieders 
als bedoeld in de Zvw te bereiken. Met het oog op een goede ondersteuning van de burger moeten 


24 TK 2013-2014, 33841, nr.3, p.104 

25 TK 2013-2014, 33841, nr.3, p.104 

26 TK 2013-2014, 33841, nr.3, p.105 
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gemeenten in voorkomend geval de totale problematiek van betrokkene in kaart brengen om een zo 
goed mogelijk bij zijn probleem passende oplossing te kunnen bieden (artikel 2.3.2). 27 

Ook hier [1.4.1. lid 5] geldt dat deze gegevens oorspronkelijk door betrokkene voor een ander doel 
aan de zorgverzekeraar of zorgaanbieder of het indicatieorgaan ter beschikking zijn gesteld. Daarom 
is aan het verdere gebruik van deze gegevens ten behoeve van de maatschappelijke ondersteuning 
in het vijfde lid ook de voorwaarde gesteld dat de betrokkene daarvoor zijn ondubbelzinnige 
toestemming moet hebben verleend. Dit om het risico te beperken van het bovenmatig delen van 
gegevens en het gebruiken daarvan voor een niet verenigbaar doel. 28 


Wet in plaats van AMvB 

Nadere regels over de verwerking van persoonsgegevens zullen worden opgenomen in een AMvB. 
Het wetsvoorstel bevat daartoe een 'kapstokbepaling'. Zonder deze AMvB heeft het CBP geen zicht 
op welke gegevens concreet zullen worden verwerkt. Een samenhangend advies over de Wmo 2015 
zal het CBP pas geven als het integraal wettelijk kader voor de gegevensbescherming is uitgewerkt. 
Het CBP adviseert de waarborgen voor de bescherming van persoonsgegevens op te nemen in de 
wettekst in plaats van in een regeling bij AMvB. 

Dit advies is als volgt verwerkt in het wetsvoorstel: 

In paragraaf 2 van het hoofdstuk is thans, preciezer en uitvoeriger dan in het aan het college 
voorgelegde artikel 4.1.2, in aparte bepalingen voor de afzonderlijke actoren geregeld welke 
persoonsgegevens voor onderscheiden taken aan andere actoren mogen of moeten worden 
verstrekt; het betreft steeds de persoonsgegevens waarover de betrokken actor ingevolge paragraaf 
1 beschikt en uitsluitend voor zover de verstrekking noodzakelijk is voor de taak van de ontvanger op 
grond van deze wet. 29 


Minimum gegevensset 

Het CBP merkt op dat de zinsnede 'in elk geval' in artikel 4.1.3 [inmiddels vernummerd tot 4.2.9] 

suggereert dat de AMvB in een minimum gegevensset zal voorzien. Het CBP adviseert: 

gelet op het doel van het stellen van regels op centraal niveau, namelijk het regelen van eenduidige 
waarborgen voor de bescherming van persoonsgegevens van burgers, "in elk geval" in artikel 4.1.3, 
eerste lid, te laten vervallen. 

De adviezen met betrekking tot "wet in plaats van AMvB" en 'minimum gegevensset"zijn als volgt 
verwerkt in het wetsvoorstel: 

In paragraaf 1 van hoofdstuk 4 is thans, preciezer en uitvoeriger dan in het aan het college 
voorgelegde artikel 4.1.1, in aparte bepalingen voor de afzonderlijke actoren geregeld welke 


27 TK 2013-2014, 33841, nr.3, p.132 

28 TK 2013-2014, 33841, nr.3, p.171 

29 TK 2013-2014, 33841, nr.3, p.105 
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persoonsgegevens voor te onderscheiden groepen van personen c.q. voor onderscheiden taken 
mogen worden verwerkt. 

Anders dan het college kennelijk als mogelijkheid veronderstelt, is het niet uitvoerbaar om in de wet 
concreet te bepalen welke persoonsgegevens voor de verschillende categorieën van personen 
mogen worden verwerkt en moeten of mogen worden verstrekt. Met name het met het 
wetsvoorstel beoogde maatwerk, waarbij per individuele cliënt zorgvuldig en uitvoerig moet worden 
onderzocht hoe zijn situatie en ondersteuningsbehoefte is, welke rol hij zelf, zijn gezinsgenoten, zijn 
mantelzorger en anderen uit zijn sociale netwerk kunnen spelen bij het oplossen daarvan, maakt het 
niet doenlijk een vaste set concrete gegevens voor te schrijven welke mogen worden verwerkt; dat 
zal per geval kunnen verschillen. De wetgever kan hierbij niet verder gaan dan zo precies mogelijk 
voor alle situaties vastleggen welke gegevens over wie voor welk doel mogen worden verwerkt, en 
expliciet vastleggen dat deze slechts mogen worden verwerkt voor zover zij noodzakelijk zijn voor de 
uit te voeren taak. In de AMvB zal zo concreet mogelijk nader worden afgebakend welke 
persoonsgegevens in de verschillende situaties door de verschillende actoren mogen worden 
verwerkt. 30 


Doorbreking beroepsgeheim 

Het CBP adviseert om de noodzaak van artikel 4.1.2, achtste lid, Wmo 2015 [inmiddels vernummerd tot 

4.2.8] in de memorie van toelichting nader toe te lichten. Het CBP adviseert voorts: 

in de MvT in te gaan op de noodzaak, proportionaliteit en subsidiariteit van de in artikel 4.1.2, 
achtste lid opgenomen verplichting. Indien een wettelijke verplichting tot doorbreking van het 
beroepsgeheim blijkt te kunnen worden gerechtvaardigd, adviseert het CBP de doorbreking van het 
beroepsgeheim expliciet en gespecificeerd op te nemen in de wettekst. 

Dit advies is als volgt verwerkt in het wetsvoorstel 

De bepaling van artikel 4.1.2, achtste lid, keert daarbij niet terug. Met het college ben ik bij nader 
inzien van mening dat deze bepaling niet noodzakelijk is, omdat uit de bevoegdheid van de 
verschillende actoren om persoonsgegevens te verwerken voortvloeit dat degenen die de 
werkzaamheden uitvoeren in opdracht van die actoren, deze gegevens voor hetzelfde doel aan hun 
opdrachtgever mogen verstrekken. Uiteraard zal aan het uitvoeren van deze werkzaamheden alsdan 
een bewerkersovereenkomst als bedoeld in artikel 14 van de Wbp ten grondslag moeten liggen; 
daarmee worden waarborgen geboden ten aanzien van de technische en organisatorische 
beveiligingsmaatregelen bij de verwerking. De schrapping van deze bepaling maakt het onnodig nog 
in te gaan op het advies van het college dat betrekking heeft op de eventuele explicitering in de 
bepaling van de mogelijkheid tot doorbreking van het beroepsgeheim, indien daarvoor een 
rechtvaardiging zou bestaan. 31 


30 TK 2013-2014, 33841, nr.3, p.105 

31 TK 2013-2014, 33841, nr.3, p.104 
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3.4. Integrale benadering trekkingsrechten 


In het eerder aangehaalde AO van 20 januari 2014 over persoonsgebonden budgetten heeft 
Staatssecretaris Van Rijn van Volksgezondheid, Welzijn en Sport op verschillende momenten bevestigd 
dat ook in de regelgeving zal worden vastgehouden aan een integrale aanpak bij de hervorming van de 
langdurige zorg. Recent is dit opnieuw bevestigd in de brief van 25 maart 2014 van de Minister en 
Staatssecretaris van Volksgezondheid, Welzijn en Sport over de verankering persoonsgebonden budget 
in de Zorgverzekeringswet. Dit is in lijn met de in paragraaf 3.3. besproken adviezen van het Cbp. Nu de 
pgb als wettelijke aanspraken worden geregeld, betekent dit dat ook de regelingen voor de pgb-t's in de 
afzonderlijke zorgwetten op elkaar moeten worden afgestemd. In dit advies wordt daarom in het 
bijzonder aandacht gegeven aan bedoelde afstemming. Voor de Zvw-pgb is het daarvoor in dit advies 
nog te vroeg nu de desbetreffende regelgeving en planning van de uitvoering nog ontbreekt. Bovendien 
zal voor de Zvw geen trekkingsrechtsysteem maar een declaratiesysteem met vergoeding achteraf gaan 
gelden (zie 6.2 van bijlage 1 bij de eerdergenoemde brief van 25 maart 2014). 


3.5. Beoordeling trekkingsrechten via deel-PIA’s 


De trajecten waarin de WLZ, de Wmo 2015 en de Jeugdwet hun weg naar het Staatsblad vinden, zijn 
verschillend. Dat geldt ook voor de lagere regelgeving op grond van die wetten. Ook de betrokkenheid 
van drie verschillende ministeries vraag een extra inspanning om tot de in paragraaf 3.4 toegelichte 
noodzakelijke afstemming te komen. Ten behoeve van ons advies richten wij ons via deel-PIA's die 
betrekking hebben op de afzonderlijke wetten, zowel op de afzonderlijk situaties van 
gegevensuitwisseling als op de samenhang die wordt beoogd in het majeure wetgevingscomplex voor 
de zorgsector. De beoordeling die daaruit volgt geven wij in hoofdstuk 4. 
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4.Privacy Impact Assessment 

4.1. Object van de PIA’s 


In paragraaf 1.5 is aangegeven dat wij deel-PIA's voor de verwerkingen bij de Sociale Verzekeringsbank 
hebben uitgewerkt voor de structurele situatie in 2015. Het gaat om de volgende relaties: 

• Persoonsgegevens van een budgethouder die van een zorgkantoor naar de SVB gaan en die door de 
SVB worden verwerkt als gevolg van de toekenning van een WLZ-trekkingsrecht 

• Persoonsgegevens van een cliënt die van een gemeente naar de SVB gaan en die door de SVB 
worden verwerkt als gevolg van de toekenning van een Wmo 2015-trekkingsrecht 

• Persoonsgegevens van een cliënt die van een gemeente naar de SVB gaan en die door de SVB 
worden verwerkt als gevolg van de toekenning van een Jeugdwet-trekkingsrecht 

Deze uitwisselingsrelaties wijken af van de vele andere gegevensuitwisselingen in de zorgsector. Dit in 
tegenstelling tot de meeste gegevensuitwisselingen in de zorgsector. Die uitwisselingen veranderen 
namelijk uit een oogpunt van gegevensbescherming niet door de hervorming van de zorg. Onze 
bevindingen naar aanleiding van de deel-PIA's kunnen worden onderscheiden naar de situatie vanaf 
2015 en naar de overgangssituatie op basis van het invoeringsmodel in 2014. 

De drie hiervoor aangegeven gegevensuitwisselingen zijn voor de beoogde situatie in 2015 beschreven 
met behulp van het Toetsmodel PIA Rijksdienst (zie paragraaf 4.2). De resultaten zijn opgenomen in 
bijlage 2. In paragraaf 4.3 worden deze resultaten besproken. In paragraaf 4.4. wordt ingegaan op onze 
bevindingen voor 2014. 


4.2. Toetsmodel PIA Rijksdienst 

Voor de PIA's die uitgevoerd zijn in het kader van deze opdacht is gebruik gemaakt van het Toetsmodel 

PIA Rijksdienst, dat vanaf 1 september 2013 verplicht moet worden toegepast. 

Het PIA-toetsmodel Rijksdienst wordt vanaf 1 september 2013 standaard toegepast bij ontwikkeling 
van nieuwe wetgeving en beleid waarmee de bouw van nieuwe ICT-systemen of de aanleg van grote 
databestanden wordt voorzien. De resultaten van een uitgevoerde PIA moeten telkens - al in de fase 
van beleidsontwikkeling - ter beschikking worden gesteld aan de betrokken functionaris(sen) voor de 
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gegevensbescherming en, waar nodig, aan de betrokken Chief Information Officer(s). Waar het gaat 
om wetgeving moet verslag worden gedaan van de PIA-uitkomsten in de memorie van toelichting. 32 

In het onderhavige geval kan verslag worden gedaan in de toelichting op een nota van wijziging of in de 
memorie van toelichting van een (te verwachten) aanpassingswet. 


In onderdeel A 'ten geleide' van Het Toetsmodel PIA Rijksdienst is een taak voor de departementale CIO 
geformuleerd. Bij een wetgevingstraject moet de CIO tijdig betrokken worden, onder meer opdat hij/zij 
kan beoordelen of een PIA gewenst is. In het onderhavige geval is de wenselijkheid van een PIA onder 
meer ontstaan naar aanleiding van constateringen door het College bescherming persoonsgegevens 33 
en in het algemeen overleg over het persoonsgebonden budget op 20 januari 2014. 34 


Het CBP hanteert de volgende definitie van een PIA 35 : 

Een PIA is geen "compliance toets," maar een instrument om in een zeer vroegtijdig stadium van de 
ontwikkeling van nieuwe producten, diensten en beleidsvoornemens aan allen die daar mee doende 
zijn en aan leidinggevenden de risico's in relatie tot bescherming persoonsgegevens op 
overzichtelijke wijze in kaart te brengen. Met die kennis gewapend kan vervolgens de verdere 
ontwikkeling van het product, de dienst of het beleidsvoornemen ter hand genomen worden en kan 
de meer juridische "compliance" toets (d.w.z. voldoet het voornemen in uitwerking aan, met name, 
de Wbp) verricht worden. 


Er is voor gekozen om de PIA-methodiek in dit stadium toe te spitsen op het verwerken van de 
persoonsgegevens door de SVB naar de stand van de (concept)wetgeving medio maart 2014. Voor een 
deel hebben de resultaten daardoor betrekking op een toets in het ontwikkelingsstadium, voor een 
ander deel op een compliancetoets. 


32 Brief van Minister voor Wonen en Rijksdienst aan Tweede Kamer, Toetsmodel Privacy Impact 
Assessment Rijksdienst, 21 juni 2013 

33 Advies van het College bescherming persoonsgegevens van 9 december 2013 over het concept¬ 
wetsvoorstel Langdurige Intensieve Zorg 

34 Kamerstukken Tweede Kamer 2013-2014, nr. 25 657, nr. 102 

35 Brief van CBP aan BZK, 5 maart 2013, Advies-concept Toetsmodel Privacy Impact Assessment, Bijl. P. 1 
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4.3. Resultaten deel-PIA’s 2015 

Als algemene opmerking voorafgaande aan de bespreking van de resultaten van de deel-PIA's 
vermelden wij dat veel van de resultaten het gevolg zijn van een vergelijking van de drie wettelijke 
regelingen. Uit deze vergelijking komt divergentie naar voren en aanbevelingen onzerzijds om die 
divergentie weg te nemen. Ook als het gaat om onderwerpen als gegevensverstrekking over 
beleidsinformatie ligt het voor de hand in de drie wetten te kiezen voor een zelfde regeling omdat juist 
bij de pgb-t moet worden gekozen voor een integrale beoordeling. 

Een andere algemene constatering is dat het bevreemdt dat de SVB geen Functionaris 
Gegevensbescherming heeft. Daarin zou zo spoedig mogelijk moeten worden voorzien. Voorts is ons 
advies om bij het College Bescherming Persoonsgegevens zo snel mogelijk melding te maken van de 
huidige verwerking van de pgb-gegevens. 

Voor de gegevensuitwisseling in de zorgketen en ook voor de gegevensuitwisseling in de zorgketen 
waarbij de SVB is betrokken, verdient een grotere mate van standaardisering aandacht. Op dit punt 
verwijzen wij naar bijlage 4 waarin wij voor het IZO-Platform zijn ingegaan op de toepassing van 
gegevenstaxonomieën bij de gegevensuitwisseling in de Langdurige Zorg. 


4.3.1. WLZ 

De WLZ verschaft met ingang van 2015 een wettelijke basis voor het pgb-t. De persoonsgegevens van 
een budgethouder die van een zorgkantoor naar de SVB gaan, mogen daardoor door de SVB worden 
verwerkt bij toekenning van een WLZ-trekkingsrecht. De SVB zorgt vervolgens op grond van een 
wettelijke opdracht op aangeven van de budgethouder voor betalingen ten laste van het trekkingsrecht 
en voor het beheer van het budget (art. 9.1.3, eerste lid, onderdeel c WLZ). 

PIA - onderdeel I (type persoonsgegevens, noodzaak, gegevensminimalisering) 

Zoals toegelicht in paragraaf 4.3.2 kleven er risico's aan een ruime interpretatie van artikel 21 lid 1 sub f 
Wbp. Wij geven in overweging om de SVB geen medische persoonsgegevens te laten verwerken. Dat 
uitgangspunt moet ondubbelzinnig worden vermeld in bijvoorbeeld lagere regelgeving. Het verdient 
daarom aanbeveling in art. 9.1.3 WLZ een delegatiemogelijkheid op te nemen conform art. 2.6.2, 
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tweede lid, Wmo 2015. In die AMvB kan worden opgenomen welke (minimale) persoonsgegevens door 
de SVB mogen worden verwerkt. 


PIA - onderdeel II (doelbinding, koppeling, kwaliteit, profilering) 

De rolverdeling op het punt van bestrijding van fraude en oneigenlijk gebruik verdient het om explicieter 
te worden geregeld dan nu het geval is. Ook dit kan via lagere regelgeving waarbij de primaire 
verantwoordelijkheid bij het zorgkantoor moet worden gelegd en de SVB de persoonsgegevens (zonder 
de medische persoonsgegevens) en de financiële gegevens aan een formele controle kan onderwerpen. 
Een en ander voorkomt dat er meer gegevens worden verwerkt dan nodig voor het doel. 

PIA - onderdeel III (instanties, systemen en verantwoordelijkheid) 

De SVB is geen WLZ-uitvoerder en wordt daarom afzonderlijk genoemd in art. 9.1.3, eerste lid, 
onderdeel c WLZ en behoort alleen persoonsgegevens te krijgen voor zover deze noodzakelijk zijn voor 
de betalingen ten late van de pgb's en het daarmee verbonden budgetbeheer. 

De gegevensbescherming is bij de SVB geïntegreerd in het informatiebeveiligingsbeleid. Het onttrekt 
zich aan onze waarneming welke aandacht in dat beleid wordt gegeven aan het 
trekkingsrechtensysteem. Een optie is om op dit punt - gezien ook het grote financiële belang van het 
pgb - te kiezen voor een EDP audit in het najaar van 2014. 

PIA - onderdeel IV (beveiliging, bewaring, vernietiging) 

In de WLZ ontbreekt een regeling voor bewaartermijnen cf. art. 4.3.4, eerste lid, en 4.3.5. Wmo 2015. 
Het verdient aanbeveling het wetsvoorstel WLZ op dit punt bij nota van wijziging aan te vullen. 

PIA - onderdeel V (transparantie en rechten van betrokkenen) 

In de WLZ ontbreekt een regeling voor inzage bij de SVB cf. art. 4.3.2 Wmo 2015. Het verdient 
aanbeveling het wetsvoorstel WLZ op dit punt bij nota van wijziging aan te vullen. 


4.3.2. Wmo 2015 

De Wmo 2015 verschaft met ingang van 2015 een wettelijke basis voor het opnemen van het pgb-t in 
gemeentelijke verordeningen met de SVB als uitvoerder van de trekkingsrechten. De persoonsgegevens 
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van een cliënt die van een gemeente of samenwerkende gemeenten naar de SVB gaan, mogen daardoor 
door de SVB worden verwerkt bij toekenning van een Wmo 2015-trekkingsrecht. De SVB zorgt 
vervolgens op aangeven van de cliënt voor betalingen ten laste van het trekkingsrecht en voor het 
beheer van het budget (art. 2.6.2 Wmo 2015). 

PIA - onderdeel I (type persoonsgegevens, noodzaak, gegevensminimalisering) 

Artikel 4.1.4 lid 2 Wmo 2015 36 wijst de SVB als verantwoordelijke aan voor de gegevensverwerking van 
persoonsgegevens (waaronder persoonsgegevens betreffende de gezondheid) die noodzakelijk zijn voor 
het verrichten van betalingen en het budgetbeheer. Deze tekst is naar onze mening niet duidelijk 
genoeg om de praktijk uitsluitsel te geven. De SVB zou naar ons oordeel bij voorkeur niet bevoegd 
moeten zijn om medische persoonsgegevens te verwerken. Dat uitgangspunt moet tot uiting komen in 
de AMvB bedoeld in art.2.6.2, tweede lid, Wmo 2015.In die AMvB kan worden opgenomen welke 
(minimale) persoonsgegevens door de SVB mogen worden verwerkt. 


Dit tekstkader gaat in op de vraag of de SVB bevoegd is c.g. moet worden gemaakt om medische 
gegevens te verwerken. 

Artikel 16 van de Wbp gaat uit van een verbod voor de verwerking van medische gegevens. Door wie 
en onder welke voorwaarden medische gegevens wél verwerkt mogen worden, vermeldt artikel 21 
Wbp. Bijvoorbeeld: de arts in het kader van een behandelrelatie met de patiënt. Verder mogen 
verzekeraars van herverzekeringen, levensverzekeringen, natura-uitvaartverzekeringen en 
schadeverzekeringen medische gegevens verwerken, net als scholen en reclasseringsinstellingen. 
Tenslotte mogen bestuursorganen (...) die "wettelijke voorschriften, pensioenregelingen of 
collectieve arbeidovereenkomsten die voorzien in aanspraken die afhankelijk zijn van de 
gezondheidstoestand van de betrokkene" uitvoeren ook medische gegevens verwerken, voor zover 
dat noodzakelijk is voor de goede uitvoering van die voorschriften, pensioenregelingen etc. (Artikel 
21 lid 1, sub f Wbp). De memorie van toelichting ( zie paragraaf 3.2 van deze rapportage) noemt, 
naast hulpverleners, alleen indicatieorganen bevoegd om medische persoonsgegevens te 
verwerken. 


36 In het gewijzigd wetsvoorstel zoals 24 april 2014 aangeboden aan de Eerste Kamer (EK, 2013-2014, 33 
841, A) omgenummerd tot 5.1.4 lid 2. 
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De uitvoering van pgb-t door SVB lijkt te voldoen aan de criteria die 21 lid 1, sub f Wbp. Er is immers 
sprake van een 'bestuursorgaan' dat 'wettelijke voorschriften uitvoert die voorzien in aanspraken 
die afhankelijk zijn van de gezondheidstoestand van de betrokkene'. Op grond hiervan zou 
verwerking van medische gegevens zijn toegestaan. Anderzijds belemmert de memorie van 
toelichting naar onze mening een ruime interpretatie, omdat daarin naast hulpverleners alleen 
indicatieorganen genoemd worden. 

Ook adviezen van het Cbp wijzen op een restrictieve interpretatie. De langlopende discussie over de 
vermelding van dbc's op declaraties in de ggz is daarvan een voorbeeld. In de brief van het Cbp van 
4 september 2013 aan de minister van VWS wijst het Cbp op het zwaarwegende belang van de 
bezwaren die zijn verbonden aan het doorgeven van informatie (diagnose en/of zorgzwaarte) aan 
derden (met name verzekeraars) die niet bij de behandeling betrokken zijn. Als gevolg van het 
advies van het Cbp heeft de sector met veel inspanning een 'zorgzwaarteindicator 'ontwikkeld, die 
voor de verzekeraar niet te herleiden is tot informatie over de gezondheidstoestand van de 
betrokkene. 

Een vereiste van de Wbp is dat niet meer gegevens verwerkt worden dan strikt nodig voor het doel. 

Het Toetsmodel PIA Rijksdienst is op dit punt helder en terughoudend: 

3. Kan van elk van de onder vraag 1.1 en vraag 1.2 opgevoerde typen persoonsgegevens [bedoeld worden 
'gewone' en 'bijzondere' in de zin van art. 16 t/m 20 Wbp' persoonsgegevens, PC] worden gesteld dat zij 
beleidsmatig of technisch direct van belang en onontbeerlijk zijn voor het bereiken van de 
beleidsdoelstelling? Wat zou er precies niet inzichtelijk worden als ervoor wordt gekozen bepaalde 
gegevens niet te verwerken? Licht per te verwerken persoonsgegeven toe. 

Toelichting: De Wbp legt het zogenaamde principe van dataminimalisatie neer. Persoonsgegevens mogen 
slechts worden verwerkt als daarvoor een noodzaak bestaat (art 8). Art. 11, lid 1 bepaalt daarnaast dat 
persoonsgegevens slechts mogen worden verwerkt voor zover zij, gelet op de doeleinden waarvoor zij 
worden verzameld of vervolgens worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn 
(relevantie-eis). Verder is van belang dat verwerking van gevoelige persoonsgegevens in principe verboden 
is (art. 16-23 Wbp), en slechts onder strikte(re) voorwaarden is toegestaan. 

De Leidraad afstemming van wetgeving op de Wbp stelt eveneens strenge eisen aan het gebruik van 
medische persoonsgegevens. De Leidraad waarschuwt dat artikel 23, eerste lid, onder e (Inmiddels 
omgenummerd tot artikel 23 lid 1, sub f Wbp) van de Wbp een uitzonderingsregeling [de cursivering 
is afkomstig uit de Leidraad, PC] is; met de toepassing daarvan wordt grote terughoudendheid 
betracht. Artikel 23 Wbp maakt het mogelijk om de verbod op de verwerking van medische 
persoonsgegevens opzij te zetten door de verwerking bij wet te regelen. Dan moet het gaan om een 
zwaarwegend belang en moeten passende waarborgen worden geboden voor de bescherming van 
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de persoonlijke levenssfeer. Zie verder ook paragraaf 4.5.1. en 4.5.2 van deze rapportage voor de 
afwegingen op de punten proportionaliteit en subsidiariteit. 

Hoewel een ruime interpretatie van artikel 21 lid 1, sub f Wbp mogelijk is, wanneer uitsluitend de 
wettekst gevolgd wordt, willen wij wijzen op de risico's die aan deze argumentatie zijn verbonden, 
gezien de memorie van toelichting en de standpunten van het Cbp. 

In het licht van deze overwegingen is het aan te bevelen dat de SVB voor de uitvoering van pgb- 
trekkingsrechten geen gebruik maakt van medische persoonsgegevens. De uitvoering van pgb-t kan 
namelijk ook zonder verwerking van medische persoonsgegevens gebeuren. Als de SVB alleen "dat- 
informatie" (betrokkene heeft recht op pgb-t) verwerkt en geen "wat-informatie" (betrokkene heeft 
- invullen: medische klacht - op grond waarvan hij/zij recht heeft op pgb-t) kan SVB ook pgb-t 
uitvoeren. Het aandeel van de SVB in de gewenste fraudebestrijding kan naar onze mening worden 
geleverd zonder daarbij te beschikken over medische gegevens. 

Mocht verwerking van medische gegevens door SVB in het kader van de uitvoering pgb-t 
noodzakelijk geacht worden, dan biedt artikel 23 lid sub f de mogelijkheid om de noodzaak met het 
oog op een zwaarwegend algemeen belang en met passende waarborgen voor de bescherming van 
de persoonlijke levenssfeer bij wet te bepalen. 


PIA - onderdeel II (doelbinding, koppeling, kwaliteit, profilering) 

Bij het verwerken van persoonsgegevens is het zaak dat het gebruik van deze gegevens niet buiten de 
wettelijke kaders (doelbinding, koppeling, kwaliteit, profilering) gaat plaatsvinden. Wat betreft dit 
wettelijke kader verdient het aanbeveling in de rolverdeling bij het bestrijden van fraude en oneigenlijk 
gebruik vast te leggen dat de SVB de persoonsgegevens (zonder de medische persoonsgegevens) en de 
financiële gegevens alleen aan een formele controle kan onderwerpen. 

Een en ander voorkomt dat er meer gegevens worden verwerkt dan nodig voor het doel. 

De wijze waarop fraude en oneigenlijk gebruik wordt bestreden, is nog niet in detail vastgesteld omdat 
door de gemeenten nog verordeningen moeten worden vastgesteld waarin de aanpak wordt 
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PIA - onderdeel II (doelbinding, koppeling, kwaliteit, profilering) 

Bij het verwerken van persoonsgegevens is het zaak dat het gebruik van deze gegevens niet buiten de 
wettelijke kaders ( doelbinding, koppeling, kwaliteit, profilering) gaat plaatsvinden. Wat betreft dit 
wettelijke kader verdient het aanbeveling in de rolverdeling bij het bestrijden van fraude en oneigenlijk 
gebruik vast te leggen dat de SVB de persoonsgegevens (zonder de medische persoonsgegevens) en de 
financiële gegevens alleen aan een formele controle kan onderwerpen. 

Een en ander voorkomt dat er meer gegevens worden verwerkt dan nodig voor het doel. 

De wijze waarop fraude en oneigenlijk gebruik wordt bestreden, is nog niet in detail vastgesteld omdat 
door de gemeenten nog verordeningen moeten worden vastgesteld waarin de aanpak wordt 
vastgelegd. Er zijn bovendien nog veel relevante AMvB's onderweg met de Wmo 2015 als basis. Het 
verdient aanbeveling precies vast te leggen wat de gemeente en wat de SVB in deze aanpak gaan doen. 

PIA-onderdeel lil (instanties, systemen en verantwoordelijkheid) 

De informatievoorziening richting cliënt in 2015 moet nog worden uitgewerkt. Gezien de doelgroep 
vergt dit een inspanning om zo duidelijk mogelijk te communiceren over het trekkingsrechtensysteem 
en de acties die daarbij van de cliënt worden verwacht. 

Met betrekking tot de beveiliging van het trekkingsrechtensysteem is er nog onduidelijkheid (het 
ontbreken van een FG bij de SVB is daarbij een duidelijk manco). 

PIA- onderdeel IV (beveiliging, bewaring, vernietiging) 

Het verdient aanbeveling op grond van artikel 4.2.7, tweede lid, Wmo 2015 bij AMvB beveiligingseisen 
te stellen aan de verwerking van persoonsgegevens van budgethouders. 

PIA - onderdeel V (transparantie en rechten van betrokkenen) 

In de artikelen 4.3.2 en 4.3.5 Wmo 2015 is naar ons oordeel adequaat inhoud gegeven aan de rechten 
van betrokkenen. 

4.3.3. Jeugdwet 

De Jeugdwet verschaft met ingang van 2015 een wettelijke basis voor het opnemen van het pgb-t in 
gemeentelijke verordeningen met de SVB als uitvoerder van de trekkingsrechten. De persoonsgegevens 
van een cliënt die van een gemeente of samenwerkende gemeenten naar de SVB gaan, mogen daardoor 
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door de SVB worden verwerkt bij toekenning van een Jeugdwet-trekkingsrecht. De SVB zorgt vervolgens 
op aangeven van de cliënt voor betalingen ten laste van het trekkingsrecht (art. 8.1.8. Jeugdwet). 

PIA- onderdeel I (type persoonsgegevens, noodzaak, gegevensminimalisering) 

In artikel 8.1.8 Jeugdwet is bepaald dat de SVB namens de colleges van de gemeenten de betalingen ten 
laste van verstrekte persoonsgebonden budgetten uitvoert (het trekkingsrechtensysteem). Anders dan 
in de Wmo 2015 en de WLZ wordt hierbij niet gesproken over het budgetbeheer als onderdeel van het 
trekkingsrechtensysteem en is evenmin - zoals in de Wmo 2015 - voorzien in de mogelijkheid om bij of 
krachtens algemene maatregel van bestuur regels te kunnen stellen over de wijze waarop de SVB deze 
taak uitvoert. De Jeugdwet vermeldt weliswaar dat de SVB betalingen ten laste van verstrekte pgb's 
uitvoert, maar niet welke persoonsgegevens bij die verwerking gebruikt mogen worden. Evenmin wordt 
de SVB als verantwoordelijke voor de verwerking aangewezen, zoals wel is gebeurd in art. 4.1.4, tweede 
lid, Wmo 2015. 

De SVB wordt niet genoemd in artikel 7.2.1 Jeugdwet, terwijl het wel de bedoeling is dat de SVB in de 
onderhavige uitwisselingsrelatie het bsn gaat gebruiken. Het verdient aanbeveling een daartoe 
strekkende bepaling in de Jeugdwet op te nemen alsmede een delegatievoorziening vergelijkbaar met 
artikel 2.6.2, tweede lid, Wmo 2015. Voor de aansluiting van gemeenten in 2014 op de trekkingsrechten 
voor de Jeugdwet is het gebruik van het bsn evenmin geregeld. 

Het verdient aanbeveling daartoe de Wet op de jeugdzorg (evt. via de Wet gebruik 
burgerservicenummer in de jeugdzorg) alsnog aan te passen met terugwerkende kracht om de opstart 
in 2014 van de relatie SVB - gemeente voor wat betreft de Jeugdwet te regelen (het voorstel Wet 
gebruik bsn in de jeugdzorg (33674) dat op 18 februari 2014 door de Eerste Kamer is aangenomen, 
regelt wel het gebruik van het bsn door zorgaanbieders, maar noemt niet de SVB.) Het ontbreken van de 
expliciete vermelding van de SVB in de Jeugdwet valt op, maar maakt de verwerking van het bsn door de 
SVB niet onrechtmatig. Op grond van de Wet algemene bepalingen burgerservicenummer is de SVB als 
overheidsorgaan gerechtigd om het bsn te gebruiken. 
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PIA - onderdeel II (doelbinding, koppeling, kwaliteit, profilering), onderdeel III (instanties, systemen en 
verantwoordelijkheid), onderdeel IV (beveiliging, bewaring, vernietiging) en onderdeel V (transparantie 
en rechten van betrokkenen) 

In de Jeugdwet is aan het trekkingsrechtensysteem minder aandacht gegeven dan in de later ingediende 
Wmo 2015 en WLZ. Het gelijktrekken van de regelingen door aanpassing van de Jeugdwet verdient 
aanbeveling. De opmerkingen hiervoor wat betreft de WLZ en de Wmo 2015 zijn daardoor ook relevant 
voor de aanpassingen van de Jeugdwet aan de Wmo 2015 en de WLZ. 


4.4. Invoeringsmodel trekkingsrechten 2014 


Om het trekkingsrechtensysteem met ingang van 2015 volledig te laten werken geldt in 2014 een 
invoeringsmodel op grond waarvan het trekkingsrechtensysteem gefaseerd kan worden ingevoerd. In 
feite zouden daarvoor in 2014 al de wettelijke voorzieningen moeten zijn/worden getroffen die met 
ingang van 2015 gaan gelden op grond van de WLZ, Wmo 2015 en Jeugdwet. 

De tot nu daarvoor getroffen voorzieningen zijn niet voldoende. In paragraaf 4.3.3 is al gewezen op het 
ontbreken van een wettelijke voorziening voor het gebruik van het bsn voor de gevallen waarin 
gemeenten in de loop van 2014 aangesloten willen worden op de trekkingsrechten. Een dergelijke 
voorziening zou in de Wet op de jeugdzorg thuishoren. 

Voor de pgb-'s op grond van de AWBZ in 2014 is de Regeling subsidies AWBZ (hierna RSAWBZ) 
aangepast. Op grond van artikel 2.6.3c van die regeling kan het zorgkantoor op verzoek van een 
verzekerde in 2014 een trekkingsrecht verlenen dan wel een verleend persoonsgebonden budget 
omzetten in een verlening van een trekkingsrecht. De SVB wordt dan ingeschakeld op grond van artikel 
2.6.4, eerste lid, onderdeel k, RSAWBZ. Voor deze activiteit gebruikt de SVB het bsn. Onderzocht is of de 
SVB het bsn mag gebruiken. 


Dat een wettelijke voorziening nodig is voor het gebruik van het bsn vloeit voort uit artikel 24 Wbp. 
Onderzocht is of het gebruik van het bsn door de SVB voldoet aan de criteria van artikel 24 Wbp. 
Tevens is de Wet algemene bepalingen burgerservicenummer (Wabb) geraadpleegd, en is 
geconstateerd dat deze wet overheidsorganen toestaat bij het verwerken van persoonsgegevens in 
het kader van de uitvoering van hun taak gebruik te maken van het burgerservicenummer 
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(art. 10 Wabb). Blijkens de artikelsgewijze toelichting in de memorie van toelichting op de Wabb (TK, 
2005-2006,30312, nr.3), wordt hier het begrip 'overheidsorgaan' hier gebruikt in de betekenis van 
het ruime begrip 'bestuursorgaan' uit artikel 1.1 eerste lid van de AWB. 

Dat artikel uit de AWB definieert een bestuursorgaan als: een orgaan van een rechtspersoon die 
krachtens publiekrecht is ingesteld. De SVB voert allerlei publiekrechtelijke taken uit, bijvoorbeeld in 
de uitvoering van werk en inkomen. Hoofdstuk 6 van de Wet SUWI is gewijd aan de SVB. In de 
literatuur wordt de SVB ook aangeduid als 'a-orgaan in de zin van de AWB' (Zo bijvoorbeeld Zijlstra, 
Bestuurlijk organisatierecht, 2009, p.47). SVB is daarmee een overheidsorgaan in de zin van artikel 
10 Wabb en kan als zodanig "bij het verwerken van persoonsgegevens in het kader van de uitvoering 
van [zijn] taak gebruik maken van het burgerservicenummer, (...)". 

Niettemin blijft er een zekere incongruentie bestaan tussen de verschillende wetten waarin pgb-t 
geregeld worden. Zo is het gebruik van het bsn door de SVB ten behoeve van de uitvoering van pgb-t 
in de Jeugdwet niet geregeld, maar wel in de Wmo2015. In aanmerking nemende dat de SVB op 
grond van de Wabb het bsn mag gebruiken, is de vermelding in de Wmo 2015 van de SVB als 
gerechtigd om het bsn te gebruiken in feite niet nodig. Wij geven in overweging om de divergentie 
tussen de wetten op het punt van het gebruik van het bsn door de SVB ten behoeve van pgb-t aan te 
passen. 


Bij gemeenten die in 2014 aangesloten willen worden op de trekkingsrechten voor Wmo-pgb's moet de 
gemeentelijke Wmo-verordening worden aangepast. 

Het verdient aanbeveling na te gaan of alsnog een of meer wettelijke voorzieningen moeten worden 
getroffen, zodat het invoeringsmodel trekkingsrechten 2014 zijn beslag kan krijgen op de wijze zoals 
thans voorzien. 
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4.5. Leidraad voor de afstemming van wetgeving op de 
Wbp 37 

In hoofdstuk 3 en hiervoor in hoofdstuk 4 zijn het juridisch kader en de daaruit voortvloeiende 
conclusies met betrekking tot het trekkingsrechtensysteem uitgebreid aan de orde gekomen. Voor de 
praktische gevolgen van een en ander is kennisneming van de Leidraad voor de afstemming van 
wetgeving op de Wbp van nut. 

De Leidraad voor de afstemming van wetgeving op de Wbp is opgesteld op initiatief van het ministerie 
van Justitie om de wetgevingspraktijk bij die afstemming zo goed mogelijk te ondersteunen, door een 
werkgroep bestaande uit wetgevingsjuristen van diverse ministeries en van de Raad van State. Het CBP 
heeft over de Leidraad een positief advies uitgebracht. 

De Leidraad is niet bindend, maar bevat nuttige hulpmiddelen voor wetgevingsjuristen, bijvoorbeeld op 
het punt van de bijzondere eisen die worden gesteld aan gegevensbescherming in wetgeving op grond 
van internationaal en Europees recht en uit de grondrechten. De Leidraad poogt twee wetgevingsvragen 
te beantwoorden: (i) hoe stem ik wetgeving af op de Wet bescherming persoonsgegevens en (ii) welke 
consequenties zijn er verbonden aan de toepassing van die wet waarmee rekening moet worden 
gehouden. 

Hierna is een selectie gemaakt van de elementen van de Leidraad die bij uitstek relevant zijn voor de 
beoordeling van het wetgevingscomplex voor de langdurige zorg. Daarbij gaat het met name om de 
volgende aspecten: het verwerkingsverbod voor bijzondere gegevens (i.c. medische gegevens), de 
afweging van de proportionaliteit en de subsidiariteit en, daarmee samenhangend, de toets aan artikel 8 
EVRM. Het is daarbij van belang om vast te stellen dat zowel het Toetsmodel PIA Rijksdienst als de 
Leidraad geautoriseerde documenten zijn. 

In de navolgende paragrafen zijn de passages uit de Leidraad weergegeven die op de genoemde 
onderwerpen betrekking hebben 38 en waaruit wij mede onze conclusies getrokken hebben. 


37 Ministerie van Justitie, Leidraad afstemming wetgeving op de Wbp, 96 p. 

38 De complete tekst van het onderdeel 'adviezen voor de wetgevingsjurist' is opgenomen als bijlage. 
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4.5.1. Bijzondere persoonsgegevens 

11. De wetgevingspraktijk leert dat op de doorbreking van het wettelijk verbod, bedoeld in art. 23, 
eerste lid, onder e [inmiddels vernummerd tot f, PC], Wbp regelmatig een beroep wordt gedaan. 
Daarom volgen hieronder enige richtlijnen en voorbeelden voor het gebruik van deze uitzondering. 

12. Allereerst 

• artikel 23, eerste lid, onder e [inmiddels vernummerd tot f, PC] 39 , van de Wbp is een 
uitzonderingsregeling; met de toepassing daarvan wordt grote terughoudendheid betracht 

• ga daarom eerst zorgvuldig na of de voorgenomen regeling niet reeds valt onder de reeds in de 
artikelen 17 t/m 22 Wbp geregelde doorbrekingen van het verbod; overleg daarover zonodig met de 
directie Wetgeving van het Ministerie van Justitie 

13. Vervolgens 

• ga zorgvuldig na of de voorgenomen regeling niet reeds valt onder de in artikel 23, eerste lid, 
onder a tot en met d, Wbp geregelde gevallen 

• zie voor de vereisten waaraan toestemming in de context van de Wbp (en dus ook in de context 
van art. 23, eerste lid, onder a, van de Wbp) moet voldoen: art. 1, onder i, Wbp 


14. Tenslotte 

• wanneer blijkt dat de gewenste voorziening noodzaakt tot het opstellen van nieuwe wetgeving - al 
dan niet gecombineerd met de aanvraag van een ontheffing bij het College bescherming 
persoonsgegevens - voorzie dan eerst in een grondige motivering van het zwaarwegend algemeen 
belang en expliciteer welke passende waarborgen voor de bescherming van de persoonlijke 
levenssfeer worden geboden 

(...) 

• in het wetsvoorstel dienen tenminste expliciet te zijn geregeld: doeleinde(n) van de voorgenomen 
gegevensverwerking, omvang van de gegevensverstrekking - zo veel mogelijk te relateren aan 
specifieke bijzondere persoonsgegevens -, identiteit van de verantwoordelijke, regeling van de 
verstrekking van gegevens en van de eventueel beoogde verdere verstrekking, mede in relatie tot 
bestaande wettelijke geheimhoudingsplichten, waarborgen voor de gegevensverstrekking, 
(sub)delegatie is gelet op de tekst van art. 23, eerste lid, onder e, Wbp niet aanvaardbaar 

• in de memorie van toelichting wordt een expliciete motivering van het zwaarwegend algemeen 
belang gegeven en worden de te treffen waarborgen voor de bescherming van de persoonlijke 
levenssfeer expliciet uiteengezet 


39 Artikel 23 lid sub f Wbp luidt: 

1. Onverminderd de artikelen 17 tot en met 22 is het verbod om persoonsgegevens als bedoeld in artikel 
16 [bijzondere persoonsgegevens], te verwerken niet van toepassing voor zover: (...) 
f. dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden 
geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel het 
College ontheffing heeft verleend.(...) 
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• na afronding van het wetgevingsproces geldt een notificatieverplichting voor de betrokken 
Minister aan de Europese Commissie (art. 23, derde lid, Wbp) 


De verwerking van de bijzondere persoonsgegevens (i.c. betreffende gezondheid en het seksuele leven) 
is in de memorie van toelichting van de Wmo 2015, de WLZ en de Jeugdwet gemotiveerd aan de hand 
van het zwaarwegende algemeen belang en de te treffen waarborgen voor de bescherming van de 
persoonlijke levenssfeer. 

4.5.2. Afweging proportionaliteit en subsidiariteit 

Draag in de toelichting bij een regeling die specifiek betrekking heeft op de bescherming van 
persoonsgegevens zorg voor een expliciete afweging van de in geding zijnde belangen van 
verantwoordelijken en betrokkenen in relatie tot de doeleinden van gegevensverwerking. 


4.5.3. Toets aan artikel 8 EVRM 

De Leidraad biedt aanknopingspunten voor de toets aan artikel 8 lid 2 EVRM. Een dergelijke toets is 
vereist wanneer een bepaalde beperking op de persoonlijke levenssfeer moet worden geregeld, zoals 
het geval is bij de verwerking van persoonsgegevens in het kader van het wetsvoorstel Wmo 2015. De 
Leidraad zegt daarover het volgende: 


Waar het betreft de bescherming van persoonsgegevens gaat het daarbij niet zelden om het 
verwerken van persoonsgegevens voor een ander doel dan waarvoor ze oorspronkelijk zijn 
verzameld. Vaak dient zich daarbij de noodzaak aan van het verstrekken van persoonsgegevens van 
de ene naar de andere verantwoordelijke, buiten toestemming van de betrokkene. Soms moet een 
regeling worden getroffen voor de verwerking van bijzondere persoonsgegevens. 

Dergelijke wetsvoorstellen moeten in beginsel steeds worden aangemerkt als een inmenging, 
respectievelijk een inbreuk, op de grondrechten van artikel 8 EVRM, respectievelijk artikel 10 van de 
Grondwet. Uit de jurisprudentie van het EHRM volgt dat dit bijzondere eisen stelt aan de motivering 
van een dergelijk voorstel. In paragraaf 2.11 zijn bij wijze van illustratie enige relevante arresten van 
het EHRM genoemd, waarin specifieke eisen zijn gesteld aan de wetgeving die een inmenging regelt. 
De memorie van toelichting behoort dan ook een uitdrukkelijke - en dus geen impliciete - motivering 
te bevatten. 

Omvang en inhoud van de motivering dienen de ingrijpendheid van de inbreuk - zowel naar zwaarte 
als naar het aantal personen dat het betreft - te weerspiegelen. Het is niet goed mogelijk om in zijn 
algemeenheid te omschrijven hoe deze eis in de praktijk moet worden toegepast. Belangrijke 
aandachtspunten zijn in ieder geval de relatieve zwaarte van de inbreuk, de omvang van de kring van 
betrokkenen, de te volgen procedures, bewaartermijnen, kwaliteit van de gegevens, de aan de 
betrokkene toekomende rechten van inzage en correctie en het bieden van rechtsbescherming. 
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De belangrijkste elementen worden vermeld in de memorie van toelichting van de Wmo 2015, Jeugdwet 
en WLZ. 


4.5.4. Samenhang tussen PIAen Leidraad 

Het CBP heeft zich in zijn advies 40 op het Toetsmodel PIA Rijksdienst uitgesproken over de samenhang 
tussen het (toen nog: concept) Toetsmodel PIA Rijksdienst en de Leidraad. Naar aanleiding van 
commentaar van het CBP is de samenhang tussen het Toetsmodel PIA Rijksdienst en de Leidraad als 
volgt verduidelijkt: 

Indien de PIA wordt uitgevoerd in het kader van ontwikkeling van beleid dat moet resulteren in 
wetgeving, moet in de fase van juridische verfijning van het wetsvoorstel de in het IAK [Integraal 
Afwegingskader] opgenomen Leidraad voor de afstemming op de Wbp worden gebruikt. 


40 Brief van CBP aan BZK, 5 maart 2013, Advies-concept Toetsmodel Privacy Impact Assessment, Bijl. p. 6 
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5.Overkoepelende visie 

5.1. Algemeen 

De PIA's met betrekking tot het trekkingsrechtensysteem hebben geleid tot de observaties en 
aanbevelingen in hoofdstuk 4. Het feit dat het hier een klein onderdeel van hervorming van de 
langdurige zorg betreft, betekent niet dat onze bevindingen niet meestal een bredere strekking hebben. 
Dit roept de vraag op of ons onderzoek naast de in hoofdstuk 4 gepresenteerde bevindingen ook 
aanleiding geeft tot meer algemene opmerkingen over de gegevensuitwisseling in het sociale domein. 
Op dat vlak komen in de dialoog met de Staten-Generaal ook voortdurend vragen op en vervolgens 
antwoorden van regeringszijde. Een duidelijk voorbeeld om overzicht en inzicht te houden spreekt 
bijvoorbeeld uit de op 13 maart 2014 gepubliceerde internetconsultatie met betrekking tot de 
Beleidsvisie gegevensdeling en privacy in het sociaal domein. Vanuit onze onderzoekservaring geven wij 
hierna twee korte beschouwingen als bijdrage aan een overkoepelende visie op hetgeen zich in het 
sociale domein afspeelt. De eerste beschouwing betreft de vraag of en hoe de gegevensuitwisseling in 
het sociale domein kan profiteren van standaardisering. De tweede vraag betreft de vraag of de 
overvloed aan wetgeving in het sociale domein beter kan worden gestructureerd. 


5.2. Standaardisering als wenkend perspectief 

In het kader van het programma i-HLZ is de vraag of standaardisering in de gegevensuitwisseling voor de 
langdurige zorg een wenkend perspectief is, opnieuw gesteld. Wij hebben in dat verband onze visie op 
gegevensuitwisseling en de toepassing van gegevenstaxonomieën daarbij opgeschreven. Een excerpt 
van dit document is als bijlage 4 bij dit advies gevoegd. Uit dit document kan worden geconcludeerd dat 
het gebruik van standaardisering in de vorm van taxonomieën belangrijke voordelen heeft en misschien 
wel noodzakelijk is, maar tegelijkertijd grote en duurzame inspanningen vraagt om die voordelen binnen 
bereik te brengen. Onzeker is ook welk bereik taxonomieën kunnen krijgen in de enorme diversiteit in 
het sociale domein. In zo'n situatie is het wellicht verstandig in het sociale domein op een beperkt en 
goed af te bakenen terrein proef te draaien met het gebruik van gegevenstaxonomieën. Naar onze 
waarneming zou het pgb-trekkingsrechtensysteem zo'n terrein kunnen zijn. 
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5.3. Structuur van de wetgeving in het sociale domein 

De vraag naar een passende structuur van de wetgeving in het sociale domein is gezien de dynamiek van 
de wetgeving op dit terrein in feite een dagelijks terugkerende vraag. Het is een vraag die in de praktijk 
niet alleen door wetgevingsjuristen wordt beantwoord. Ook politieke en andere beleidsmatige 
prioriteiten zijn medebepalend bij de vormgeving van de wetgeving. De laatste jaren zijn de afwegingen 
op dit vlak niet eenvoudiger geworden, omdat steeds meer wordt gestreefd naar een integrale aanpak. 
In de verhouding overheid-burger betekent dit dat kort gezegd het "van het kastje naar de muur sturen" 
is vervangen door de "één loket gedachte". Ook het inzetten van een ombudsman kan het gevolg zijn 
van een keus voor een integrale aanpak. Binnen de overheid betekent integrale aanpak vooral een 
streven naar kwaliteitsverbetering. Op wetgevend terrein heeft dat onder meer geleid tot het hanteren 
van het zogenoemde Integrale afwegingskader bij de besluitvorming over nieuwe wetgevingstrajecten. 
Ook standaardiseringstrajecten kunnen vaak worden gezien als een onderdeel van een integrale aanpak. 
Achter deze vormen van een integrale aanpak moet de problematiek worden opgelost van het 
verbinden van regelgeving en uitvoering die uit zichzelf meestal niet uitgaan van een integrale aanpak. 
Eenvoudig is dit verbinden ten behoeve van een integrale aanpak niet. 41 
Een integrale aanpak op wetgevingsterrein is expliciet ook aan de orde bij onze opdracht om te 
adviseren met betrekking tot gegevensuitwisseling en gegevensbescherming rond de pgb 
trekkingsrechten vanuit drie wetten. Uit onze PIA's en de daaruit getrokken conclusies is daarbij 
opnieuw gebleken dat het maken van consequente wetgeving lastig is als het gaat om een lappendeken 
van oude en nieuwe regelgeving op verschillende niveaus. Ondanks de onvolprezen site "Officiële 
bekendmakingen" van de SDU is overzicht en inzicht in omvangrijke wetgevingsgebieden moeilijk te 
verkrijgen anders dan via ad hoe studie. Dit leidt bijvoorbeeld tot thematische wetsevaluaties die zijn 
bedoeld als achtergrondstudies voor gebruik bij wetgeving die aan een bepaald thema raakt (zie 
Kamerstukken II, 2013-2014, 31765, nr. 86, over Kwaliteit van zorg). 

Het voorgaande roept bij ons de vraag op of een integrale aanpak op wetgevingsterrein een stap vooruit 
kan worden geholpen door systematisch gegevens vast te leggen over thema's en begrippen in de 
huidige en toekomstige wetgeving die digitaal kunnen worden opgeroepen vanuit in het bijzonder de 
vastleggingen door de SDU. In feite vergt dit een mega operatie met taxonomieachtige trekken en zou 


41 Zie de praktijkervaringen van Duthler Associates met Integrale governance en Verbinden zoals 
neergelegd in de Symposiumbundels van juni 2010 en juni 2011 
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deze visie niet zonder grondig onderzoek in structurele daden moeten worden ingezet. Ook hier zou 
proefdraaien op het thema persoongebonden budget met de aanpassing van de Zorgverzekering in 
gedachten en de aanwezigheid van een pgb in een ander deel van het sociale domein dan de zorg (pgb 
WIA) een uitdaging zijn. 


6.Afhechting van deze rapportage 

Deze rapportage is in concept afgerond in de maand maart 2014 op basis van de op dat moment 
beschikbare stukken van de WLZ, Jeugdwet en de WMO 2015. Ten tijde van de plenaire behandeling van 
de Wmo 2015 is deze rapportage doorgesproken met de opdrachtgever in de vorm van een afrondend 
overleg met vertegenwoordigers van het ministerie van Volksgezondheid, Welzijn en Sport. 


Naast een uniforme gedragslijn met betrekking tot het bsn is een uniforme aanpak gewenst met 
betrekking tot de vraag in hoeverre door de SVB medische gegevens mogen worden verwerkt. Ons 
advies is om van een dergelijke verwerking af te zien. Aan een ruime interpretatie van de mogelijkheid 
die de Wbp biedt in artikel 21 lid 1 sub f Wbp kleven risico's waar wij op zijn ingegaan in paragraaf 4.3.2. 
Het aandeel van de SVB in de gewenste fraudebestrijding kan naar onze mening worden geleverd 
zonder daarbij te beschikken over medische gegevens, ook al zouden deze gegevens alleen 
"dat"gegevens zijn en geen "wat"gegevens. Fraudebestrijding waarbij inzicht in de medische gegevens 
noodzakelijk is, zou in eerste aanleg uitsluitend bij de zorgkantoren en de gemeentes, moeten 
plaatsvinden. 

Op andere punten zullen adviezen en visies uit deze rapportage op de daarvoor geëigende momenten 
worden betrokken bij het concipiëren van de lagere regelgeving en de implementatietrajecten. 

Blijven over de twee suggesties uit de overkoepelende visie die op een later moment in overleg zullen 
worden betrokken. 
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Bijlage 1 Toetsmodel PIA Rijksdienst 

Toetsmodel Privacy Impact Assessment (PIA) Rijksdienst 42 
A. Ten geleide 
1. Wat is een PIA? 

1. Een Privacy Impact Assessment (PIA) is een hulpmiddel om bij ontwikkeling van beleid, en de daarmee 
gepaard gaande wetgeving of bouw van ICT-systemen en aanleg van databestanden, privacyrisico's op 
gestructureerde en heldere wijze in kaart te brengen. Het PIA-toetsmodel is specifiek gericht op de 
Rijksdienst en bedoeld voor toepassing op alle beleidsgebieden en binnen alle rechtsdomeinen. 

2. De PIA heeft de vorm van een toetsmodel/vragenlijst. Op die lijst staan zowel feitelijke en technische 
vragen als vragen die zijn gebaseerd op nationale en Europese juridische vereisten. Het richt zo in een 
vroegtijdig stadium en op hoofdlijnen de aandacht op alle onderdelen van de beoogde verwerking van 
persoonsgegevens die aandacht en uitwerking behoeven. 

3. Een PIA is geen vrijblijvende enquête. In het bijzonder is de vragenlijst inhoudelijk gezien zowel 
richtinggevend als corrigerend bedoeld. Daarnaast moet het beantwoordingsproces als zodanig ook 
bewustwording stimuleren van de uiteenlopende privacy-aspecten waarmee rekening moet worden 
gehouden bij ontwikkeling van een wetgeving en beleid en in dat kader te ontwikkelen ICT-systemen en 
databestanden. 

4. Een PIA is richtinggevend in de zin dat de (uitputtende) vragenreeks kan wijzen op relevante privacy¬ 
risico's die in de vroege fase van beleids- of systeemontwikkeling (wellicht nog) niet zijn onderkend. Als 
dat het geval is, moet de betreffende vraag zo worden opgevat dat het noodzakelijk is om deze aspecten 
alsnog in de uitwerking mee te nemen. 

5. Een PIA is ook corrigerend. Door de vragenvolgorde zal het vaak nodig zijn voorlopige antwoorden op 
eerdere vragen te heroverwegen, en vervolgens voor een andere (minder privacy-inperkende) oplossing 
te kiezen. Het zal dan ook geregeld voorkomen dat in een eerder stadium van beleids- of 
systeemontwikkeling overwogen opties en oplossingen bij nadere beschouwing niet goed genoeg 
kunnen worden onderbouwd vanwege de hiermee gepaard gaande privacy-risico's. 

6. Vanwege het richtinggevende en corrigerende karakter van een PIA zal het invullen van de vragenlijst 
vaak een dynamisch proces zijn, waarbij concept-(beleids)oplossingen of het concept-functionele 
systeemontwerp geleidelijk worden aangescherpt. 

7. Een PIA moet worden gehanteerd naast, en in afstemming met andere hulpmiddelen voor 
ontwikkeling van wetgeving en beleid, en daarmee gepaard gaande bouw van ICT-systemen en aanleg 
van databestanden. Een PIA komt dus niet in de plaats van deze bestaande instrumenten, en is niet 
bedoeld daarmee te overlappen. 

8. Indien de PIA wordt uitgevoerd in het kader van ontwikkeling van beleid dat moet resulteren in 
wetgeving, moet in de fase van juridische verfijning van het wetsvoorstel de in het IAK opgenomen 
Leidraad afstemming op de Wbp worden gebruikt. 


42 Toetsmodel PIA Rijksdienst, TK 2012-2013, 31051 nr. F. 
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9. Indien de PIA wordt uitgevoerd in het kader van ontwikkeling van beleid waarmee (ook) de aanleg van 
databestanden of de bouw van ICT-systemen wordt voorzien, moet ook rekening worden gehouden met 
de beheersmaatregelen zoals beschreven in het handboek portfoliomanagement Rijk voor projecten 
met een grote ICT-component. 

10. Beantwoording van de PIA-vragenlijst resulteert in een geschreven document. 

2. Wanneer is verwerking van persoonsgegevens door de Rijksdienst, inclusief ZBO 
noodzakelijk (en komt een PIA aan de orde)? 

1. Gebruik van persoonsgegevens, waaronder door de overheid, vormt in veel gevallen een inperking 
van het grondrecht van bescherming van de persoonlijke levenssfeer (artikel 10, leden 2 en 3 Grondwet, 
artikel 8 EVRM, artikel 8 EU-Grondrechtenhandvest). 

2. Zodra hieraan wordt gedacht in het kader van ontwikkeling van beleid en wetgeving, en de daarmee 
gepaard gaande bouw van ICT-systemen en aanleg van databestanden, moet eerst worden vastgesteld 
of verwerking van persoonsgegevens noodzakelijk is voor het te bereiken doel. Hierbij speelt zowel de 
vraag naar subsidiariteit als proportionaliteit. 

3. Voor wat betreft subsidiariteit is de (voor)vraag: is het alleen door middel van verwerking van 
persoonsgegevens mogelijk het gewenste beleidsmatige resultaat te bereiken? Zijn er ook effectieve 
praktische of technische alternatieven die helemaal niet ingrijpen op de privacy? (Hierbij kan 
bijvoorbeeld worden gedacht aan het niet verwerken van op de persoon herleidbare gegevens voor 
aspecten van het voorstel die enkel trends of algemene patronen willen vastleggen). Indien 
alternatieven voor verwerking van persoonsgegevens met hetzelfde beleidsmatige resultaat 
voorhanden zijn, moet daarvoor worden gekozen. 

4. Voor ontwikkeling van beleid en wetgeving kan voor het beantwoorden van deze vragen naar de 
subsidiariteit van de verwerking van persoonsgegevens ook gebruik worden gemaakt van de in het IAK 
opgenomen checklist afstemming op (internationale) (klassieke) grondrechten. 

5. Indien de (voorlopige) bevinding is dat alternatieven voor verwerking van persoonsgegevens niet 
bestaan, is het zaak het PIA-toetsmodel ter hand te nemen. Zo kunnen alle aan proportionaliteit 
gelieerde vragen van de voorziene verwerking van persoonsgegevens helder in beeld worden gebracht 
en kunnen oplossingen worden geformuleerd die niet verder gaan dan nodig om het gewenste resultaat 
te bereiken (Hierbij kan bijvoorbeeld worden gedacht aan het differentiëren van maatregelen (is 
verwerking van dezelfde persoonsgegevens nodig voor alle aspecten van het beleidsvoorstel?), of het 
toestaan van de mogelijkheid van een "opt-out" aan betrokkenen in bepaalde specifieke 
omstandigheden). 

6. Een PIA moet dus zo vroeg mogelijk in het proces van de vorming van beleid dat verwerking van 
persoonsgegevens voorziet, al dan niet gepaard gaande met wetgeving of bouw van ICT-systemen, 
worden gebruikt. 

3. Hoe moet een PIA worden gehanteerd? 

1. Beleids- en wetgevingsinitiatieven binnen de Rijksdienst om persoonsgegevens te verwerken kennen 
vele gedaanten. Aan de ene kant kan het gaan om een geheel nieuw databestand of systeem waarin een 
nieuwe verzameling persoonsgegevens voor een nieuw doel zal worden verwerkt. Aan de andere kant 
kan het gaan om het toevoegen van een nieuw type persoonsgegevens aan de verwerking in een al 
bestaand ICT-systeem, of het koppelen van verschillende al bestaande databestanden of systemen om 
een nieuw doel te bereiken. Ook kan het gaan om nieuwe vormen van verstrekking, uitwisseling, 
openbaarmaking en (meervoudig) gebruik van gegevens. 
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2. De PIA-vragenlijst is opgesteld voor het gehele spectrum van nieuwe vormen van 
gegevensverwerking. Het met het aflopen van de vragen te ondervangen privacy-risico zal echter sterk 
afhangen van de aard van het beleids- of wetsvoorstel of het voorgenomen ICT-systeem of databestand. 
Het zal dus per geval verschillen welke van de PIA-vragen moeten worden beantwoord. 

3. Het is niet nodig om de gehele vragenlijst af te werken als het gaat om: 

- uitbreiding van het databestand binnen een bestaand ICT-systeem (volstaan kan worden met 
beantwoording van de vragen in secties I en IV) 

- gebruik van een bestaand databestand of ICT-systeem voor aanvullende of nieuwe doelen (volstaan 
kan worden met beantwoording van de vragen in sectie II en IV) 

- koppeling van verschillende al bestaande databestanden of ICT-systemen voor bestaande of 
aanvullende of nieuwe doelen (volstaan kan worden met beantwoording van de vragen in secties ll-V) 
Vanzelfsprekend is het bij het uitvoeren van een dergelijke "PIA-light" verstandig terug te grijpen op 
eventuele eerdere stukken (uitgevoerde PIA's, andere impact assessments, toelichtingen). 

4. In alle andere gevallen moet, mede gezien de eerder genoemde samenhang tussen de vragen, en het 
richtinggevende en corrigerende karakter van de PIA, wel de gehele vragenlijst worden afgelopen. 

5. De uiteindelijke beantwoording van de PIA-vragen zal als basis en bron moeten dienen voor 
technische, beleidsmatige en juridische verantwoording van keuzen (zie daarover nader onder 5). 

4. Wie? Uitvoering en afstemming 

1. De PIA-vragenlijst moet worden ingevuld door de beleidsmedewerker of wetgevingsjurist van de 
Minister die, of het ZBO dat "verantwoordelijke" is of zal zijn voor een verwerking van 
persoonsgegevens in de zin van de Wet bescherming persoonsgegevens. 

2. Van "verantwoordelijkheid" is sprake, in de bewoordingen van de Wbp, als dit onderdeel van de 
Rijksdienst de entiteit is die het doel van en de middelen voor de verwerking van persoonsgegevens 
vastlegt. 

3. Een PIA hoeft niet te worden ondernomen door beleidsmakers of wetgevingsjuristen van het 
ministerie of het onderdeel van de Rijksdienst dat slechts als "bewerker" optreedt in de zin van de Wbp, 
d.w.z. als slechts in opdracht van een verantwoordelijke wordt gehandeld. Neem contact op met de 
juridische afdeling van uw Ministerie als hierover onduidelijkheid bestaat. 

4. De Functionaris Gegevensbescherming (FG) is binnen uw departement verantwoordelijk voor het 
onafhankelijk toezicht op toepassing en naleving van de Wet bescherming persoonsgegevens. U kunt 
met de FG contact opnemen voor advies tijdens de beantwoording van de vragenlijst of over de 
resultaten van de beantwoording. De FG kan aandachtspunten signaleren en risico's helpen duiden. 

5. Als uw beleids- of wetgevingsvoorstel betrekking heeft op de bouw van een ICT-systeem of het 
aanleggen van een databestand, neem dan ook tijdig contact op met uw departementale Chief 
Information Officer (CIO). Deze geeft een oordeel bij de start of tussentijdse wijziging van een project, 
zoals opgenomen in de l-strategie. Onderdeel hierin is de beoordeling of in het projectplan is 
opgenomen of er binnen het project sprake is van het opnemen van privacygevoelige gegevens of van 
het koppelen of verrijken van data, en of daarbij beargumenteerd is of een PIA gewenst is. 

5. Gebruik en verantwoording PIA-resultaten 

1. Een serieus uitgevoerde PIA zal richtinggevend en corrigerend hebben gewerkt. Plannen zijn 
toegespitst en uitgewerkt. Dit heeft tot gevolg dat bij voorbereiding van wetgeving, beleid en 
overheidsICT-systemen privacy-aspecten als zodanig onderdeel zijn geworden van het afwegingsproces. 
Omdat hierop gebaseerde aanpassingen hiermee al zullen zijn meegenomen in de uiteindelijke 
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beantwoording van de PIA-vragen moeten alleen de definitieve antwoorden worden gebruikt bij de 
verdere ontwikkeling van beleid en systemen. 

2. De afwegingen en keuzes die uit de uiteindelijke antwoorden blijken zullen per wets- of 
beleidsvoorstel danwel ICT-systeem verschillen. Voor de verantwoording van het uiteindelijke gebruik 
van persoonsgegevens zal tevens moeten worden verwezen naar eerdere beleidskeuzes en oplossingen 
in andere contexten. Ook nieuwe aspecten, of elementen die afwijken van eerder gemaakte keuzes (bv. 
meer gegevens dan voorheen, een ander systeem dan voorheen, etc.), zullen nadere toelichting 
verdienen. 

3. Resultaten van een PIA moeten worden gezonden aan de betrokken FG en de CIO. Afhankelijk van de 
context waarin de PIA wordt uitgevoerd, worden de resultaten echter op verschillende manieren 
verwerkt. 

4. Waar het gaat over beleid dat de bouw van ICT-systemen of de aanleg van databestanden voorziet, 
zal de FG op basis hiervan advies kunnen geven bij het bepalen van de nodige maatregelen en 
waarborgen die moeten worden neergelegd in beleidsregels, aanwijzingen, gebruikshandleidingen en 
procedures. Daarnaast zullen ClO's de resultaten kunnen gebruiken voor advisering over 
informatiebeveiliging en systeemontwerp. Ook kunnen de PIA resultaten input vormen voor een 
eventuele melding van de voorgenomen verwerking aan het CBP of de FG, die volgens de daarvoor 
geldende regels openbaar gemaakt wordt. 

5. Bij wetgeving wordt over PIA-resultaten een passage opgenomen in de toelichting. Daarin kan dan 
een samenvatting worden gegeven van de belangrijkste afwegingen en keuzes. Het ligt voor de hand 
deze passage toe te voegen aan de al standaard op te nemen beschouwing over het grondrechtelijke 
kader en de toetsing aan de Wet bescherming persoonsgegevens (zie ook hierboven, onder A). Hoewel 
een volledig gestandaardiseerde verantwoordingsparagraaf dus niet kan worden gegeven, zou een 
model-element van deze memorie van toelichting-paragraaf kunnen zijn: 

"Gezien de aard van dit voorstel is in de fase van beleidsontwikkeling een Privacy Impact Assessment 
uitgevoerd (zie ook Kamerstukken I 2010/11, 31051, nr. D; motie-Franken). Met behulp hiervan is de 
noodzaak van gegevensverwerking bekeken, en zijn op gestructureerde wijze de implicaties van de 
maatregel(en)/het systeem op gegevensbescherming in kaart gebracht. Hierbij is in het bijzonder 
aandacht besteed aan de beginselen van gegevensminimalisering en doelbinding, het vereiste van een 
goede beveiliging en de rechten van de betrokkenen. [Beschrijving specifieke aspecten en de in dit geval 
gemaakte belangenafweging]" 
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B. Vragenlijst 

Vooraf: Gegevensverwerking is sterk juridisch ingekaderd. Anderzijds wordt de tekst van de Wet 
bescherming persoonsgegevens (Wbp) vaak juist als abstract en ondoorgrondelijk ervaren. In dit licht 
bevat de onderstaande vragenlijst zowel praktische als meer juridisch getinte vragen. De praktische 
vragen zijn ervoor bedoeld om het hele traject van gegevensverwerking, en daarbij betrokken instanties, 
goed in kaart te brengen. Waar het gaat om juridisch getinte vragen luistert de formulering van de 
vragen nauw. In dat geval is zoveel mogelijk geprobeerd deze toe te lichten en voorbeelden toe te 
voegen. Indien er onduidelijkheid bestaat over de inhoud van de vraag, is het raadzaam daarover 
contact op te nemen met de Functionaris Gegevensbescherming van uw ministerie of de juridische 
afdeling. 

I. Basisinformatie: type persoonsgegevens, type verwerking en 
noodzaak/gegevensminimalisering 

1. Wilt u als verantwoordelijke persoonsgegevens gaan gebruiken voor de verwerking die u voorziet? Zo 
ja, van welk type? 

Toelichting: Definitie persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare 
persoon (art. 1 Wbp). 

Definitie bijzondere (gevoelige) persoonsgegevens: gegevens over godsdienst of levensovertuiging, ras, 
politieke gezindheid, gezondheid, seksueel leven, lidmaatschap van een vakvereniging, strafrechtelijk 
verleden; Cf. art. 16 Wbp 

Definitie: Een verantwoordelijke is een natuurlijke persoon, rechtspersoon of ieder ander die of het 
bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking 
van persoonsgegevens vastlegt. 

N.B. Als uw organisatie slechts als bewerker (degene die ten behoeve van de verantwoordelijke 
persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen) optreedt, moet 
deze vragenlijst door de verantwoordelijke en niet door u worden ingevuld. 

Definitie verwerking: elke handeling of elk geheel van handelingen met betrekking tot 
persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, 
wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of 
enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede 
het afschermen, uitwisselen of vernietigen van persoonsgegevens. 

2. Andere specifieke persoonsgegevens? 

2a. Is het de bedoeling om gegevens over de financiële of economische situatie van betrokkenen, of 
andere gegevens die kunnen leiden tot stigmatisering of uitsluiting te verwerken? 

Toelichting:Hieronder vallen bijvoorbeeld gegevens over (problematische) schulden, gokverslaving, 
prestaties op school of werk of relatieproblemen. 

2b. Is het de bedoeling om gegevens over kwetsbare groepen of personen te verwerken? 

Toelichting: hieronder vallen bijvoorbeeld minderjarigen, verstandelijk gehandicapten, mensen die te 
maken hebben met stalking, klokkenluiders of informanten voor politie of het OM. 

2c.Is het de bedoeling gebruikersnamen, wachtwoorden en andere inloggegevens te verwerken? 
Toelichting:De mogelijke gevolgen voor betrokkenen hangen af van de verwerkingen en van de 
persoonsgegevens waar de inloggegevens toegang toe geven. Hierbij moet er rekening mee worden 
gehouden dat veel mensen wachtwoorden hergebruiken voor verschillende verwerkingen. 

2d. Is het de bedoeling om uniek identificerende gegevens, zoals biometrische gegevens, te verwerken? 
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Toelichting: Dit type gegevens is weliswaar niet formeel aangemerkt als bijzonder persoonsgegeven in de 
dataprotectierichtlijn 95/46 en op basis daarvan in de Wbp, maar wordt in de nationale en Europese 
rechts- en toepassingspraktijk inmiddels wel als zodanig behandeld. Aanhangige Europese voorstellen 
voor aanpassing van dataprotectieregelgeving continueren deze trend door verwerking van biometrische 
gegevens als specifiek risico aan te merken. 

2e. Is het de bedoeling om het bsn-nummer, of een ander persoonsgebonden nummer te verwerken? 
Toelichting: De Wbp (art 24) bepaalt dat een bij de wet voorgeschreven nummer ter identificatie van een 
persoon bij verwerking van persoonsgegevens slechts verwerkt wordt ter uitvoering van de 
desbetreffende wet of doeleinden bij de wet bepaald. 

Raadpleeg zonodig het Besluit gebruik sofi-nummer Wbp van 15 augustus 2001. 

3. Kan van elk van de onder vraag 1.1 en vraag 1.2 opgevoerde typen persoonsgegevens worden gesteld 
dat zij beleidsmatig of technisch direct van belang en onontbeerlijk zijn voor het bereiken van de 
beleidsdoelstelling? Wat zou er precies niet inzichtelijk worden als ervoor wordt gekozen bepaalde 
gegevens niet te verwerken? Licht per te verwerken persoonsgegeven toe. 

Toelichting: De Wbp legt het zogenaamde principe van dataminimalisatie neer. Persoonsgegevens 
mogen slechts worden verwerkt als daarvoor een noodzaak bestaat (art 8). Art. 11, lid 1 bepaalt 
daarnaast dat persoonsgegevens slechts mogen worden verwerkt voor zover zij, gelet op de doeleinden 
waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, terzake dienend en niet 
bovenmatig zijn (relevantie-eis). Verder is van belang dat verwerking van gevoelige persoonsgegevens in 
principe verboden is (art. 16-23 Wbp), en slechts onder strikte(re) voorwaarden is toegestaan. 

4. Kan als het gaat om gevoelige persoonsgegevens hetzelfde beleidseffect of technisch resultaat worden 
bereikt op een van de volgende wijzen: (a) door (gecombineerd) gebruik van normale persoonsgegevens, 
(b) door gebruik van geanonimiseerde of gepseudonimiseerde gegevens? 

Toelichting: Anonimisering betekent verwijdering van alle direct en uniek identificerende gegevens. 
Pseudonimisering betekent systematische vervanging van direct identificerende gegevens van personen 
door bv. een code waardoor in de toekomst bepaalde geautoriseerde partijen nog steeds gegevens 
kunnen toevoegen, maar terugleiding tot de specifieke persoon niet meer mogelijk is. Dit kan bv. door 
persoonsgegevens direct na verzameling in een bepaald algoritme om te zetten, waardoor analyse en 
vergelijking mogelijk blijft maar de bron van de gegevens als zodanig in principe niet meer is op te 
roepen. 

5. In welk breder wettelijk, beleidsmatig of technisch kader wordt het voorziene 
beleid/databestand/informatiesysteem ontwikkeld en wat voor soort(en) verwerking(en) van 
persoonsgegevens gaan hiervan deel uitmaken bij het voorziene traject? Wordt hierbij gebruikt gemaakt 
van (nieuwe) technologie of informatiesystemen? 

Toelichtingdnventariseer alle verwerking van persoonsgegevens en verantwoordelijkheden en geef het 
geheel bijvoorbeeld door middel van een grafische weergave overzichtelijk weer zodat het hele traject 
van gegevensverwerking inzichtelijk wordt. 

II. Doelbinding, koppeling, kwaliteit en profilering 

Doeleinden/doelbinding en koppeling 

1. Hebt u het/de specifieke doel(en) waarvoor u de persoonsgegevens gaat verwerken in detail 
vastgesteld? Geldt hiervoor één en hetzelfde specifieke doel? 

Toelichting: De Wbp (art. 7) bepaalt dat persoonsgegevens slechts voor welbepaalde, uitdrukkelijk 
omschreven en gerechtvaardigde doelen mogen worden verzameld. Zo kan bijvoorbeeld worden 
aangegeven in wetgeving dat persoonsgegevens worden verwerkt voor het vastomlijnde doel van 
tegengaan van illegale immigratie. De verwerking dient gerechtvaardigd te zijn door één van de gronden 
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van artikel 8 Wbp. Indien meerdere doelen worden nagestreefd met het verzamelen van de 
persoonsgegevens moeten die allemaal worden genoemd, en moet voor elk van die doelen worden 
gerechtvaardigd waarom de (hele) voorziene set van persoonsgegevens hiervoor noodzakelijk is. 

2. Gaat het bij het project/systeem om gebruik van nieuwe persoonsgegevens voor een bestaand doel, 
of bestaande doelen binnen al bestaande systemen? (scenario toevoeging nieuwe persoonsgegevens). 
Toelichting: De Wbp legt het zogenaamde principe van dataminimalisatie neer. In art. 11, lid 1 bepaalt 
het dat persoonsgegevens slechts mogen worden verwerkt voor zover zij, gelet op de doeleinden 
waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, terzake dienend en niet 
bovenmatig zijn. Dit betekent dat als de gegevens die wordt verwerkt in een bestaand systeem wordt 
uitgebreid, voor elk van de nieuw te verwerken persoonsgegevens een rechtvaardiging moet bestaan. Zie 
voor een beoordeling van de toe te voegen gegevens ook vragen 1.1-4 hierboven. 

3. Gaat het bij het project/systeem om het nastreven van nieuwe/aanvullende doeleinden door 
bestaande persoonsgegevens, of verzamelingen daarvan, te gebruiken, vergelijken, delen, koppelen of 
anderszins verder te verwerken? (scenario toevoeging doeleinden). Zo ja, hebben alle 
personen/instanties/systemen die betrokken zijn bij de verwerking dezelfde doelstelling met de 
verwerking van de desbetreffende persoonsgegevens of is daarmee spanning mogelijk gelet op hun taak 
of hun belang? Gelden dezelfde doelen voor het hele proces? 

Toelichting: De Wbp (art. 9, lid 1) bepaalt dat persoonsgegevens niet verder mogen worden verwerkt (bv. 
in de vorm van koppeling of vergelijking met andere persoonsgegevens, of toevoeging van andere 
persoonsgegevens voor het bereiken van een nader doel) op een wijze die onverenigbaar is met het/de 
doel (en) waarvoor ze in eerste instantie zijn verkregen. Loop het hele voorziene traject van de 
persoonsgegevens na en geef bij elk onderdeel aan of er sprake is van een ander doel dan waarvoor de 
gegevens zijn verzameld. 

4. Indien u positief hebt geantwoord op vragen 11.2 of 11.3, hoe wordt een dergelijk voorgenomen 
gebruik (d.w.z. gebruik van nieuwe persoonsgegevens in bestaande systemen of van bestaande 
persoonsgegevens voor nieuwe doeleinden) gemeld aan: (a) de functionaris voor de 
gegevensbescherming, of (b) het CBP indien er geen FG is? 

Toelichting: De Wbp (art. 62) maakt het mogelijk om een functionaris voor de gegevensbescherming (FG) 
te benoemen. Deze functionaris ziet toe op de verwerking van persoonsgegevens. Het toezicht door deze 
functionaris strekt zich uit tot de verwerking van persoonsgegevens door de verantwoordelijke die hem 
heeft benoemd. De functionaris kan aanbevelingen doen aan de verantwoordelijke die strekken tot een 
betere bescherming van de gegevens die worden verwerkt. Volgens art. 27, lid 3 moeten voorgenomen 
verwerkingen aan de FG worden gemeld. Als er geen FG is, moet dit gebeuren aan het CBP. 

5. Indien u positief geantwoord hebt op vragen 11.2 of 11.3, welke (nadere) controles op een dergelijk 
gebruik (d.w.z. gebruik van nieuwe persoonsgegevens in bestaande systemen of van bestaande 
persoonsgegevens voor nieuwe doeleinden) zijn voorzien? 

Toelichting: zie toelichting bij vragen 11.2 en 11.3. Het kan bijvoorbeeld gaan om het plannen van een 
intern evaluatie-moment, of een externe evaluatie. 

Kwaliteit 

6. Welke periodieke en incidentele controles zijn voorzien om de juistheid, nauwkeurigheid en 
actualiteit van de in het beleidsvoorstel, wetsvoorstel op overheidsICT-systeem verwerkte 
persoonsgegevens na te gaan? 

Toelichting: De Wbp (art. 11, lid 2) bepaalt dat maatregelen moeten worden genomen om er voor te 
zorgen dat persoonsgegevens, gelet op de doeleinden waarvoor zijn worden verzameld of verder 
verwerkt, juist en nauwkeurig zijn. 
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Profilering 

7. Zullen de verzamelde/verwerkte persoonsgegevens gebruikt worden om het gedrag, de aanwezigheid 
of de prestaties van mensen in kaart te brengen en/of te beoordelen en/of te voorspellen? Zijn de 
betrokkenen daarvan op de hoogte? Zijn de gegevens die hiervoor worden gebruikt, afkomstig uit 
verschillende (eventueel externe) bronnen en zijn zij oorspronkelijk voor andere doelen verzameld? 

8. Wordt bij deze analyse/beoordeling/voorspelling gebruik gemaakt van vergelijking van 
persoonsgegevens die technisch geautomatiseerd is (d.w.z. niet door mensen zelf wordt uitgevoerd)? Zo 
ja, hoe wordt geregeld dat, indien dit geautomatiseerde proces tot een beoordeling of voorspelling over 
een bepaalde persoon leidt, hierop pas concrete actie wordt ondernomen na tussenkomst en (tweede) 
controle van (menselijk) personeel? 

Toelichting: De Wbp (art. 42, lid 1) stelt dat niemand aan een besluit kan worden onderworpen waaraan 
rechtsgevolgen zitten voor hem indien dat besluit alleen wordt genomen op grond van een 
geautomatiseerde verwerking van persoonsgegevens bestemd om een beeld te krijgen van bepaalde 
aspecten van zijn persoonlijkheid. 


III. Betrokken instanties/systemen en verantwoordelijkheid 

1. Welke interne en externe instantie(s) en/of systemen is/zijn betrokken bij de voorziene verwerking in 
elk van de onder 1.5 onderscheiden fasen? Welke verstrekkers zijn er en welke ontvangers? Welke 
bestanden of deelbestanden en welke infrastructuren? 

2. Is (in ieder stadium) duidelijk wie verantwoordelijk is voor de verwerking van de persoonsgegevens? 
Zo ja, is deze persoon of organisatie daarop voldoende voorbereid en geëquipeerd wat betreft de 
nodige voorzieningen en maatregelen, waaronder middelen, beleid, taakverdeling, procedures en intern 
toezicht? 

Toelichting: De Wbp (art. 1, d) merkt als verantwoordelijke aan de natuurlijke persoon, rechtspersoon of 
ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen 
voor de verwerking van persoonsgegevens vaststelt. 

3. Wie binnen uw organisatie, en elk van de andere betrokken organisaties, krijgen precies toegang tot 
de persoonsgegevens? Bestaat de kans dat bij het gebruik ervan de gegevens ter beschikking komen van 
onbevoegden? 

4. Geldt voor een of meer van de betrokken instanties een beperking van de mogelijkheid om 
persoonsgegevens te verwerken als gevolg van geheimhoudingsverplichtingen (in verband met 
functie/wet)? 

Toelichting: De Wbp (art. 9, lid 4) bepaalt dat de verwerking van persoonsgegevens achterwege blijft 
voorzover een geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift daaraan in de 
weg staat. Van een dergelijke geheimhoudingsplicht is bijvoorbeeld soms sprake voor medici en 
(jeugd)h ulpverlen ers. 

5. Zijn alle stappen van de verwerking in de zin van soorten gegevens en uitwisselingen, in kaart 
gebracht of te brengen, zodanig dat daardoor voor de betrokkenen inzichtelijk is bij wie, waarom en hoe 
de persoonsgegevens worden verwerkt? 

Toelichting: De kenmerken van de verwerking moeten altijd beschikbaar zijn als voorwaarde om als 
verantwoordelijke "in controT' te kunnen zijn, en in het bijzonder in verband met de meld- en 
inlichtingenplicht t.b.v. betrokkenen (artikel 27, eerste lid, Wbp, en artikel 30, lid 3, Wbp). 

6. Zijn er beleid en procedures voorzien voor het creëren en bijhouden van een verzameling van de 
persoonsgegevens die u wilt gaan gebruiken? Zo ja, hoe vaak en door wie zal de verwerking worden 
gecontroleerd? Omvat de verzameling een verwerking die namens u wordt uitgevoerd (bijvoorbeeld 
door een onderaannemer)? 
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7. Is er sprake van overdracht van persoonsgegevens naar een (overheids)instantie buiten de EU/EER? 
Heeft dit land een niveau van gegevensbescherming dat als passend is beoordeeld door een besluit van 
de Europese Commissie of de Minister van Veiligheid en Justitie? Worden daarbij alle of een gedeelte 
van de persoonsgegevens doorgegeven? 

Toelichting: De Wbp (art. 76) bepaalt dat persoonsgegevens slechts naar een land buiten de EU en EER 
mogen worden doorgegeven indien dat land een passend niveau van gegevensbescherming waarborgt. 
Voor wat betreft de VS heeft de Europese Commissie bepaald dat organisaties die zich hebben verplicht 
tot naleving van de zogenaamde safe harbour principles ook geacht worden een passend 
beschermingsniveau te waarborgen. Een volledige lijst van Commissie-besluiten over de adeguaatheid 
van het beschermingsniveau in overige derde landen (zoals bijvoorbeeld Israël, Argentinië en Australië) is 
te vinden op de volgende website: http://ec.europa.eu/justice/data-protection/document/international- 
transfers/adeguacy/index_en.h tm 

IV. Beveiliging en bewaring/vernietiging 

Beveiliging 

1. Is het beleid met betrekking tot gegevensbeveiliging binnen uw organisatie op orde? Zo ja, wie/welke 
afdeling(en) is/zijn binnen de organisatie verantwoordelijk voor het opstellen, implementeren en 
handhaven hiervan? Is dit beleid specifiek gericht op gegevensbescherming en gegevensbeveiliging ? 
Toelichting: De Wbp (art. 13) vereist dat passende technische en organisatorische maatregelen worden 
genomen om persoonsgegevens te beveiligen tegen enige vorm van onrechtmatige verwerking. 

2. Indien (een deel van) de verwerking bij een bewerker plaatsvindt, hoe draagt u zorg voor de 
gegevensbeveiliging, en het toezicht daarop, bij die bewerker? 

Toelichting: De Wbp (art. 14, lid 1) verplicht de verantwoordelijke ervoor zorg te dragen dat een 
bewerker, indien die (een deel van) de verwerking op zich neemt, voldoende technische en 
organisatorische beveiligingsmaatregelen neemt. Conform lid 2 moet hiervoor een 
bewerkersovereenkomst worden opgesteld. Er moet op basis van de Wbp toezicht plaatsvinden op de 
naleving van de maatregelen (artikel 14, lid 1, Wbp). 

3. Welke technische en organisatorische beveiligingsmaatregelen zijn getroffen ter voorkoming van niet- 
geautoriseerde of onrechtmatige verwerking/misbruik van (a) gegevens die in een geautomatiseerd 
format staan (bv. wachtwoord-bescherming, versleuteling, encryptie) en (b) gegevens die handmatig zijn 
opgetekend bv. sloten op kasten)? Is er een hoger beschermingsniveau om gevoelige persoonsgegevens 
te beveiligen? 

Toelichting: Voor het bepalen van het juiste risiconiveau kan worden gekeken naar CBP, "Richtsnoeren 
Beveiliging van Persoonsgegevens", 2013, op: 

http://www.cbpweb.nl/Pages/pb_20130219_richtsnoeren-beveiliging-persoonsgegevens.aspx 

4. Welke procedures bestaan er in geval van inbreuken op beveiligingsvoorschriften, en voor het 
detecteren ervan? Is er een calamiteitenplan om het gevolg van een onvoorziene gebeurtenis waarbij 
persoonsgegevens worden blootgesteld aan onrechtmatige verwerking of verlies van persoonsgegevens 
af te handelen? 

Bewaring/vernietiging 

5. Hoe lang worden de persoonsgegevens bewaard? Geldt dezelfde bewaartermijn voor elk van de 
typen van verzamelde persoonsgegevens? Is het project onderworpen aan enige wettelijke/sectorale 
eisen met betrekking tot bewaring? 

Toelichting: De Wbp (art. 10, lid 1) geeft aan dat persoonsgegevens niet langer worden bewaard in een 
vorm die het mogelijk maakt de betrokkene te identificeren dan noodzakelijk voor de verwezenlijking van 
de doeleinden waarvoor zij worden verzameld en verder verwerkt. 
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6. Op welke beleidsmatige en technische gronden is deze termijn van bewaring vereist? 

7. Welke maatregelen zijn voorzien om de persoonsgegevens na afloop van de bewaartermijn te 
vernietigen? Worden alle persoonsgegevens, inclusief log-gegevens, vernietigd? Is er controle op de 
vernietiging, en door wie? 

V. Transparantie en rechten van betrokkenen 
Transparantie 

1. Is het doel van het verwerken van de gegevens bij de betrokkenen bekend of kan het bekend gemaakt 
worden? Wat is de procedure om betrokkenen indien nodig te informeren over het doel van de 
verwerking van hun persoonsgegevens? 

Toelichting: De hier bedoelde tmnspamntieverplichting is te onderscheiden van (en komt bovenop) het 
wettelijke kenbaarheidsvereiste (verslaglegging van het doel van een gegevensverwerking in wetgeving 
zelf). Het doel van deze transparantieverplichting is betrokkenen te informeren over verwerking op een 
plaats/moment gelieerd aan de (voorgenomen) verwerking. Is er bijvoorbeeld op het formulier 
informatie opgenomen over de doeleinden van het verzamelen van de gegevens? Of is voorzien in 
borden langs de weg waarmee camera-controles worden aangekondigd? 
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Bijlage 2 PIA’s 

Zie aparte bijlage 


Bijlage 3 Aanpak van privacybescherming 
in de Langdurige Zorg 

Zie aparte bijlage 


Bijlage 4 De toepassing van 
gegevenstaxonomieën bij de 
gegevensuitwisseling in de Langdurige 
Zorg 

Zie aparte bijlage 




